EC2 实例堆栈 | 收集 Log4j 信息

要检查更改类型版本，请使用以下命令：

aws amscm list-change-type-version-summaries --filter Attribute=ChangeTypeId,Value=CT_ID

内联创建：

使用内联提供的执行参数发出 create RFC 命令（内联提供执行参数时请转义引号），然后提交返回的 RFC ID。例如，你可以用这样的东西替换内容：

版本 2.0：

扫描所有实例：

aws amscm create-rfc --change-type-id "ct-19f40lfm5umy8" --change-type-version "2.0" --title "Log4j Investigation" --execution-parameters "{\"DocumentName\":\"AWSManagedServices-GatherLog4jInformation\",\"Region\":\"us-east-1\",\"Parameters\":{\"S3Bucket\":[\"s3://BUCKET_NAME\"]},\"TargetParameterName\": \"InstanceId\",\"Targets\": [{\"Key\": \"AWS::EC2::Instance\",\"Values\": [\"*\"]}],\"MaxConcurrency\": \"10\",\"MaxErrors\": \"100%\"}"

扫描实例列表：

aws amscm create-rfc --change-type-id "ct-19f40lfm5umy8" --change-type-version "2.0" --title "Log4j Investigation" --execution-parameters "{\"DocumentName\":\"AWSManagedServices-GatherLog4jInformation\",\"Region\":\"us-east-1\",\"Parameters\":{\"S3Bucket\":[\"s3://BUCKET_NAME\"]},\"TargetParameterName\": \"InstanceId\",\"Targets\": [{\"Key\": \"ParameterValues\",\"Values\": [\"INSTANCE_ID_1\",\"INSTANCE_ID_2\",\"INSTANCE_ID_3\",\"INSTANCE_ID_4\",\"INSTANCE_ID_5\"]}],\"MaxConcurrency\": \"10\",\"MaxErrors\": \"100%\"}"

模板创建：

1. 将此更改类型的执行参数输出到 JSON 文件；此示例将其命名为 GatherLog 4 jInfoParams .json：

   aws amscm get-change-type-version --change-type-id "ct-19f40lfm5umy8" --query "ChangeTypeVersion.ExecutionInputSchema" --output text > GatherLog4jInfoParams.json

2. 修改并保存 GatherLog 4 jInfoParams 文件，仅保留要更改的参数。例如，你可以用这样的东西替换内容：

   版本 2.0：

   扫描所有实例：

   {
     "DocumentName": "AWSManagedServices-GatherLog4jInformation",
     "Region": "us-east-1",
     "Parameters": {
       "S3Bucket": [
         "s3://BUCKET_NAME"
       ]
     },
     "TargetParameterName": "InstanceId",
     "Targets": [
       {
         "Key": "AWS::EC2::Instance",
         "Values": [
           "*"
         ]
       }
     ],
     "MaxConcurrency": "10",
     "MaxErrors": "100%"
   }

   扫描实例列表：

   {
     "DocumentName": "AWSManagedServices-GatherLog4jInformation",
     "Region": "us-east-1",
     "Parameters": {
       "S3Bucket": [
         "s3://BUCKET_NAME"
       ]
     },
     "TargetParameterName": "InstanceId",
     "Targets": [
       {
         "Key": "ParameterValues",
         "Values": [
           "INSTANCE_ID_1",
           "INSTANCE_ID_2",
           "INSTANCE_ID_3",
           "INSTANCE_ID_4",
           "INSTANCE_ID_5"
         ]
       }
     ],
     "MaxConcurrency": "10",
     "MaxErrors": "100%"
   }

3. 将 RFC 模板输出到当前文件夹中的一个文件中；此示例将其命名为 GatherLog 4 jInfoRfc .json：

   aws amscm create-rfc --generate-cli-skeleton > GatherLog4jInfoRfc.json

4. 修改并保存 GatherLog 4 jInfoRfc .json 文件。例如，你可以用这样的东西替换内容：

   {
   "ChangeTypeVersion":    "2.0",
   "ChangeTypeId":         "ct-19f40lfm5umy8",
   "Title":                "Log4j Investigation"
   }

5. 创建 RFC，指定 GatherLog 4 jInfoRfc 文件和 GatherLog 4 jInfoParams 文件：

   aws amscm create-rfc --cli-input-json file://GatherLog4jInfoRfc.json  --execution-parameters file://GatherLog4jInfoParams.json

1. 在 AWS 管理控制台的任何页面或 AWS 区域中，打开 AWS CloudShell 以运行接下来显示的脚本。确保您使用该 AWSManagedServicesReadOnlyRole 角色登录到 AWS 管理控制台。

   # Specify the S3 bucket and AWS region that contains the individual CSV files:
   BUCKET_NAME="YOUR BUCKET HERE"
   BUCKET_REGION="THE BUCKET REGION HERE"
   
   # Aggregate the CSV files:
   mkdir -p log4j-report
   aws s3 cp s3://$BUCKET_NAME/ams/log4j-scan/ ./log4j-report --recursive --include "*.csv"
   echo "aws_account_id,region,scan_time,instance_id,scan_type,location" > log4j-report/report.csv
   for i in `find log4j-report -type f \( -iname "*.csv" ! -iname "report.csv" \)`; do awk 'FNR > 1' $i >> log4j-report/report.csv; done
   
   # Upload the report to the same S3 bucket:
   file_name="report_$(date -d "today" +"%Y%m%d%H%M").csv"
   aws s3 cp log4j-report/report.csv s3://$BUCKET_NAME/ams/log4j-reports/$file_name
   
   # Open the following URL and select \"Download\" to download the report:
   echo "Report uploaded to: https://s3.console.aws.amazon.com/s3/object/$BUCKET_NAME?region=$BUCKET_REGION&prefix=ams/log4j-reports/$file_name"

   该脚本输出要从中下载报告的 S3 网址。

2. 复制并打开 URL，然后选择 “下载”