إنشاء التنبيهات والإشعارات

يراقب إنذار CloudWatch مقياسًا واحدًا، ويغيّر حالته عندما تتجاوز القيمة حدًا تحدده خلال فترة زمنية. وتتمثل مهمته في تحويل رقم يتجاوز حدًا معينًا إلى إجراء، وغالبًا ما يكون هذا الإجراء إشعارًا. فالإنذارات هي الوسيلة التي يتحول بها الرصد إلى تنبيه.

يكون الإنذار دائمًا في إحدى ثلاث حالات: OK عندما يكون المقياس ضمن الحدود، وALARM عند تجاوز الحد، وINSUFFICIENT_DATA عند عدم توفر بيانات كافية لاتخاذ القرار. ويمكن إرفاق إجراءات بأي انتقال بين الحالات، بحيث تتلقى إشعارًا عند بدء المشكلة وعند زوالها.

تقومون بتهيئة الإحصائية (مثل المجموع أو المتوسط)، والفترة (مدة كل نافذة بيانات)، وعدد فترات التقييم التي يجب أن تتجاوز الحد قبل إطلاق التنبيه. ويؤدي اشتراط عدة فترات متتالية سيئة إلى تقليل التنبيهات الكاذبة الناتجة عن الارتفاعات القصيرة، بينما تمنح الفترة الواحدة أسرع تنبيه ممكن.

لا ترسل التنبيهات رسائل البريد الإلكتروني بنفسها، بل تنشرها إلى Amazon SNS (Simple Notification Service)، وهي خدمة للنشر والاشتراك. ويضم الموضوع في SNS مشتركين مثل عناوين البريد الإلكتروني أو أرقام SMS أو دوال Lambda. يُخطر التنبيه الموضوع، ثم توزّع SNS الرسالة على جميع المشتركين.

لا يقتصر الإجراء على الإشعار. يمكن للتنبيه استدعاء إجراء EC2 أو إجراء Auto Scaling أو دالة Lambda عبر SNS أو EventBridge. ويتيح ذلك لتنبيه أمني أن يفعل أكثر من مجرد تنبيه شخص؛ إذ يمكنه بدء سير عمل احتواء مؤتمت فور تجاوز الحد.

يجمع التنبيه المركب عدة تنبيهات باستخدام منطق AND/OR في تنبيه رئيسي واحد. ويقلل ذلك ضوضاء التنبيهات؛ فبدلاً من إرسال ثلاثة تنبيهات منفصلة، يُرسل تنبيه واحد فقط عندما يتحقق تركيب مهم من الشروط. ويفيد ذلك في تقليل إرهاق التنبيهات مع إبقاء كل تنبيه أساسي متاحاً للتفاصيل.

يشكل موضوع SNS جزءاً من سلسلة التنبيهات لديكم، لذا احرصوا على حمايته. استخدموا سياسة الوصول إلى الموضوع للتحكم فيمن يمكنه النشر والاشتراك، وفكروا في استخدام التشفير من جانب الخادم مع KMS لمحتوى التنبيهات الحسّاس. فإذا تمكن مهاجم من الاشتراك في موضوع التنبيهات، فسوف يعرف بالضبط ما الذي تراقبونه.

بدلاً من استخدام حد ثابت، يمكن للتنبيه استخدام CloudWatch anomaly detection، الذي يتعلم النطاق الطبيعي لمقياس ما ويرسل تنبيهاً عند الانحراف عن نطاق معين. ويناسب ذلك المقاييس ذات الأنماط اليومية أو الأسبوعية، حيث قد يفوّت الرقم الثابت المشكلات أو يطلق التنبيه باستمرار. كما يتكيف مع تغير السلوك بمرور الوقت.

تقررون كيفية تعامل التنبيه مع البيانات المفقودة: باعتبارها جيدة أو سيئة أو متجاهلة، أو باعتبارها إبقاءً على الحالة الحالية. وهذا مهم في التنبيهات الأمنية. فإذا توقف التسجيل لأن مهاجماً عطّله، فإن اعتبار البيانات المفقودة "تجاوزاً للحد" قد يحول الصمت إلى إشارة بدلاً من أن يكون نقطة عمياء.

تكون التنبيهات الأمنية الجيدة محددة ومضبوطة جيداً وموجهة إلى قناة يراقبها الأشخاص. فالإكثار من التنبيهات المزعجة يدرب الفرق على تجاهلها. استخدموا عدداً قليلاً من فترات التقييم للأحداث الحرجة مثل تسجيل دخول root حتى يكون التنبيه فورياً، واربطوا التنبيهات بالأتمتة لكي تحصل الأحداث الأخطر على استجابة قبل أن يقرأ أي شخص البريد الإلكتروني.

تتمثل السلسلة الكاملة في الآتي: يزيد سطر سجل تطابقه مرشح مقياس من قيمة مقياس، ويراقب تنبيه CloudWatch ذلك المقياس، وعند تجاوزه يرسل إشعاراً إلى موضوع SNS الذي ينبه فريقكم ويشغّل Lambda اختيارياً. ويُعد إتقان هذا التدفق أمراً أساسياً في مجال التسجيل والمراقبة في الاختبار.

اختبروا معرفتكم بالتنبيهات.

يراقب تنبيه CloudWatch مقياساً واحداً، ويتنقل بين الحالات OK وALARM وINSUFFICIENT_DATA استناداً إلى حد معين خلال فترات التقييم. وعند تجاوز الحد، ينشر التنبيه رسالة إلى موضوع SNS يوزعها على المشتركين أو يشغّل الأتمتة. وتقلل التنبيهات المركبة الضوضاء، ويتكيف اكتشاف الحالات الشاذة مع الأنماط، بينما يحول التعامل الدقيق مع البيانات المفقودة فجوات التسجيل إلى إشارات.