【登壇資料】「アラート調査の自動化にむけて」というタイトルでopsmethod #1に登壇しました #opsmethod

---
name: investigation-start
description: CloudWatch異常検知調査を自動開始するスキル
---

# 調査開始スキル

Survey.txtを読み込み、CloudWatch異常検知調査を自動実行します。

## 使用方法

```
/investigation-start YYYYMMDD
```

## 前提条件

- `~/Projects/aws-investigation/investigations/YYYYMMDD/Survey.txt` が存在すること
- AWS CLIが設定済みで、対象アカウントにアクセス可能なこと
- 読み取り専用権限（ReadOnlyAccess相当）があること

## 実行ステップ

### 1. ロギング開始

```bash
cd ~/Projects/aws-investigation/investigations/YYYYMMDD
script ./survey_$(date +%Y%m%d_%H%M%S).log
```

### 2. Survey.txt読み取り

以下の情報を抽出：

- AlarmARN
- AlarmName
- StateChangeTime
- Region
- Namespace
- MetricName
- Threshold
- CurrentValue
- ResourceType
- ResourceId
- Tags

### 3. リソース特定（Phase 2）

```bash
# アラーム詳細取得
aws cloudwatch describe-alarms --alarm-names <AlarmName> --region <Region>

# リソース詳細取得（Namespaceに応じて）
# EC2の場合
aws ec2 describe-instances --instance-ids <InstanceId>

# RDSの場合
aws rds describe-db-instances --db-instance-identifier <DBInstanceId>

# Lambdaの場合
aws lambda get-function --function-name <FunctionName>
```

### 4. クイック診断（Phase 3）

```bash
# CloudTrail（過去24時間の設定変更）
aws cloudtrail lookup-events \
  --lookup-attributes AttributeKey=ResourceName,AttributeValue=<ResourceId> \
  --start-time $(date -u -d '24 hours ago' +%Y-%m-%dT%H:%M:%S)

# 同時刻の他アラーム
aws cloudwatch describe-alarms --state-value ALARM

# 前日同時刻比較
aws cloudwatch get-metric-statistics \
  --namespace <Namespace> --metric-name <MetricName> \
  --dimensions Name=<DimensionName>,Value=<DimensionValue> \
  --start-time $(date -u -d '48 hours ago' +%Y-%m-%dT%H:%M:%S) \
  --end-time $(date -u +%Y-%m-%dT%H:%M:%S) \
  --period 3600 --statistics Average
```

### 5. 詳細調査（Phase 4）

```bash
# CloudTrail詳細（過去7日）
aws cloudtrail lookup-events \
  --lookup-attributes AttributeKey=ResourceName,AttributeValue=<ResourceId> \
  --start-time $(date -u -d '7 days ago' +%Y-%m-%dT%H:%M:%S)

# CloudWatch Logs分析
aws logs filter-log-events \
  --log-group-name <LogGroupName> \
  --filter-pattern "ERROR" \
  --start-time $(($(date -d '2 hours ago' +%s) * 1000))
```

### 6. 仮説立案と検証（Phase 5）

収集したデータから：

- 3つ以上の仮説を立案
- 確度順に並べる
- 検証方法を決定
- 検証を実行
- 採択/棄却を判定

### 7. 関連サービス洗い出し（Phase 6）

```bash
# IAMロールから
aws ec2 describe-instances --instance-ids <InstanceId> \
  --query 'Reservations[0].Instances[0].IamInstanceProfile.Arn'

# VPC/Subnetから
aws ec2 describe-instances --filters "Name=vpc-id,Values=<VpcId>"

# タグベース
aws resourcegroupstaggingapi get-resources \
  --tag-filters Key=Application,Values=<ApplicationName>
```

### 8. レポート生成（Phase 7）

`findings/investigation_report.md` を作成

テンプレート：`~/.claude/skills/investigation-start/templates/investigation_report.md`

### 9. 追加調査項目リスト化（Phase 8）

権限不足による未実施項目を `additional_procedures/` 配下に手順書生成

テンプレート：

- `~/.claude/skills/investigation-start/templates/ec2_procedure.md`
- `~/.claude/skills/investigation-start/templates/rds_procedure.md`
- `~/.claude/skills/investigation-start/templates/lambda_procedure.md`

### 10. ロギング終了

```bash
exit
```

## 出力ファイル

| ファイル | 説明 |
|---------|------|
| `survey_YYYYMMDD_HHMMSS.log` | 全コマンド実行ログ |
| `findings/investigation_report.md` | 調査レポート |
| `findings/metrics_analysis.json` | メトリクス分析結果 |
| `findings/timeline.md` | イベント時系列 |
| `findings/references.md` | 参考リンク集 |
| `artifacts/cloudwatch_metrics.json` | 取得したメトリクスデータ |
| `artifacts/cloudtrail_events.json` | CloudTrailイベント |
| `additional_procedures/*.md` | 追加手順書（必要時） |

## 注意事項

- AWS MCP Serverの最新ドキュメントを参照し、正確なCLIコマンドを使用
- エラー発生時は代替手段を検討
- 全ての実行コマンドをログに記録
- 機密情報（認証情報、個人情報）は記録しない

## 時刻表記について

- **入力（Survey.txt等）**: CloudWatch アラームの形式に従い UTC で記載
- **内部処理**: UTC で統一
- **出力（レポート・ログ）**: UTC と JST（UTC+09:00）を併記
  - 形式: `YYYY-MM-DD HH:MM:SS UTC (YYYY-MM-DD HH:MM:SS JST)`
  - 例: `2024-01-15 10:30:00 UTC (2024-01-15 19:30:00 JST)`
- JST = UTC + 9時間

## 制約

- Systems Manager Run Commandは使用不可
- RDSへの直接クエリ実行は不可
- 書き込み・実行系の操作は全て不可
- 読み取り専用操作のみ