Alarme und Benachrichtigungen erstellen

Ein CloudWatch-Alarm überwacht eine einzelne Metrik und ändert seinen Status, wenn der Wert innerhalb eines bestimmten Zeitraums einen von Ihnen festgelegten Schwellenwert überschreitet. Seine Aufgabe besteht darin, eine Zahl, die einen Grenzwert überschreitet, in eine Aktion umzuwandeln – meistens in eine Benachrichtigung. Alarme machen aus Überwachung eine Alarmierung.

Ein Alarm befindet sich immer in einem von drei Status: OK, wenn die Metrik innerhalb der Grenzwerte liegt, ALARM, wenn der Schwellenwert überschritten wurde, und INSUFFICIENT_DATA, wenn nicht genügend Daten für eine Entscheidung vorliegen. Aktionen können an jeden Statuswechsel angehängt werden, sodass Sie sowohl beim Beginn eines Problems als auch bei dessen Behebung benachrichtigt werden können.

Sie konfigurieren die Statistik (z. B. Summe oder Durchschnitt), den Zeitraum (die Länge jedes Datenfensters) und die Anzahl der Auswertungszeiträume, die den Schwellenwert überschreiten müssen, bevor der Alarm ausgelöst wird. Mehrere aufeinanderfolgende problematische Zeiträume verringern Fehlalarme durch kurze Spitzen, während ein einzelner Zeitraum die schnellstmögliche Warnung ermöglicht.

Alarme senden nicht selbst E-Mails. Sie veröffentlichen Nachrichten in Amazon SNS (Simple Notification Service), einem Pub/Sub-Dienst. Ein SNS-Topic hat Abonnenten wie E-Mail-Adressen, SMS-Nummern oder Lambda-Funktionen. Der Alarm benachrichtigt das Topic, und SNS verteilt die Nachricht an alle Abonnenten.

Benachrichtigungen sind nicht die einzige Aktion. Ein Alarm kann eine EC2-Aktion, eine Auto Scaling-Aktion oder über SNS bzw. EventBridge eine Lambda-Funktion aufrufen. Dadurch kann ein Sicherheitsalarm mehr tun, als jemanden zu benachrichtigen: Er kann sofort beim Überschreiten eines Schwellenwerts einen automatisierten Workflow zur Eindämmung starten.

Ein zusammengesetzter Alarm kombiniert mehrere Alarme mithilfe der AND-/OR-Logik zu einem übergeordneten Alarm. Dadurch wird das Alarmaufkommen reduziert: Statt drei separate Benachrichtigungen zu senden, lösen Sie nur dann einmal einen Alarm aus, wenn eine relevante Kombination zutrifft. Das ist hilfreich, um Alarmmüdigkeit zu verringern und gleichzeitig jeden zugrunde liegenden Alarm für detaillierte Informationen verfügbar zu halten.

Das SNS-Topic ist Teil Ihrer Alarmkette und muss daher geschützt werden. Verwenden Sie eine Topic-Zugriffsrichtlinie, um zu steuern, wer Nachrichten veröffentlichen und abonnieren darf, und ziehen Sie für vertrauliche Alarminhalte eine serverseitige Verschlüsselung mit KMS in Betracht. Ein Angreifer, der Ihr Alarm-Topic abonnieren kann, erfährt genau, wonach Sie suchen.

Statt eines festen Schwellenwerts kann ein Alarm die CloudWatch-Anomalieerkennung verwenden. Dabei wird der normale Bereich einer Metrik erlernt und auf Abweichungen von einem Band hingewiesen. Das eignet sich für Metriken mit täglichen oder wöchentlichen Mustern, bei denen ein statischer Wert entweder Probleme übersehen oder ständig Alarme auslösen würde. Die Erkennung passt sich im Laufe der Zeit an verändertes Verhalten an.

Sie legen fest, wie ein Alarm fehlende Daten behandelt: als unkritisch, kritisch, ignoriert oder so, dass der aktuelle Status beibehalten wird. Bei Sicherheitsalarmen ist das wichtig. Wenn Ihre Protokollierung endet, weil ein Angreifer sie deaktiviert hat, kann die Behandlung fehlender Daten als „Schwellenwert überschritten“ aus der Stille ein Signal statt eines blinden Flecks machen.

Gute Sicherheitsalarme sind spezifisch, gut abgestimmt und an einen von Menschen überwachten Kanal weitergeleitet. Zu viele störende Alarme führen dazu, dass Teams sie ignorieren. Verwenden Sie für kritische Ereignisse wie eine Root-Anmeldung wenige Auswertungszeiträume, damit die Warnung sofort erfolgt, und kombinieren Sie Alarme mit Automatisierung, damit auf die gefährlichsten Ereignisse reagiert wird, bevor jemand die E-Mail liest.

Die vollständige Kette sieht so aus: Eine von einem Metrikfilter erkannte Protokollzeile erhöht eine Metrik, ein CloudWatch-Alarm überwacht diese Metrik, und bei einer Überschreitung benachrichtigt er ein SNS-Topic, das Ihr Team alarmiert und optional Lambda auslöst. Die Beherrschung dieses Ablaufs ist für den Bereich Protokollierung und Überwachung der Prüfung entscheidend.

Testen Sie Ihr Wissen über Alarme.

Ein CloudWatch-Alarm überwacht eine Metrik und wechselt abhängig von einem Schwellenwert über mehrere Auswertungszeiträume zwischen OK, ALARM und INSUFFICIENT_DATA. Bei einer Überschreitung veröffentlicht er eine Nachricht in einem SNS-Topic, das sie an Abonnenten verteilt oder eine Automatisierung auslöst. Zusammengesetzte Alarme reduzieren Störungen, die Anomalieerkennung passt sich an Muster an, und ein sorgfältiger Umgang mit fehlenden Daten macht Lücken in der Protokollierung zu Signalen.