Amazon web services 如何从相同的IP地址或电子邮件创建AWS Cloudwatch度量筛选器

我有一个AWS日志文件，记录登录成功和失败。我想创建一个警报，它将在同一IP地址或同一电子邮件地址发生高登录失败事件时触发

2015-11-08T17:41:29 login-fail 422 test@test.com 85.255.233.189
2015-11-08T17:59:58 login-fail 422 test@test.com 85.255.233.189
2015-11-08T18:17:27 login-success 201 test@test.com 85.255.233.189

计算登录失败次数的筛选器很简单：-

[datetime, result=login-fail, status, email, ip]

但是，当电子邮件地址或IP地址在给定的时间段内相同时，是否有一种方法来增强过滤器以进行匹配

最后，我想创建一个警报，当检测到异常活动时，自动更新VPC网络ACL以阻止攻击IP地址，并防止web服务器接收任何恶意流量

欢迎任何建议或其他方法