Creación de alarmas y notificaciones

Una alarma de CloudWatch supervisa una única métrica y cambia de estado cuando el valor supera un umbral que usted define durante un periodo determinado. Su función es convertir un número que rebasa un límite en una acción, normalmente una notificación. Las alarmas son el mecanismo que convierte la supervisión en alertas.

Una alarma siempre se encuentra en uno de tres estados: OK cuando la métrica está dentro de los límites, ALARM cuando se supera el umbral e INSUFFICIENT_DATA cuando no hay datos suficientes para decidir. Puede asociar acciones a cualquier transición de estado, de modo que puede recibir notificaciones tanto cuando comienza un problema como cuando se resuelve.

Configure la estadística (como Sum o Average), el periodo (la duración de cada ventana de datos) y el número de periodos de evaluación que deben superar el umbral antes de que se active la alarma. Exigir varios periodos consecutivos con valores anómalos reduce las falsas alarmas provocadas por picos breves, mientras que un solo periodo proporciona la alerta más rápida posible.

Las alarmas no envían correos electrónicos por sí mismas. Publican mensajes en Amazon SNS (Simple Notification Service), un servicio de publicación y suscripción. Un tema de SNS tiene suscriptores, como direcciones de correo electrónico, números de SMS o funciones de Lambda. La alarma notifica al tema y SNS distribuye el mensaje a todos los suscriptores.

Las notificaciones no son la única acción. Una alarma puede invocar una acción de EC2, una acción de Auto Scaling o, mediante SNS o EventBridge, una función de Lambda. Esto permite que una alarma de seguridad haga algo más que avisar a alguien: puede iniciar un flujo de trabajo automatizado de contención en el instante en que se supera un umbral.

Una alarma compuesta combina varias alarmas mediante lógica AND/OR en una alarma principal. Esto reduce el ruido de las alarmas: en lugar de enviar tres avisos independientes, solo se envía uno cuando se cumple una combinación significativa. Es útil para reducir la fatiga de alertas y, al mismo tiempo, mantener disponibles las alarmas subyacentes para obtener más detalles.

El tema de SNS forma parte de su cadena de alertas, por lo que debe protegerlo. Use una política de acceso al tema para controlar quién puede publicar y suscribirse, y considere el uso de cifrado del lado del servidor con KMS para el contenido de alertas confidencial. Un atacante que pueda suscribirse a su tema de alertas sabrá exactamente qué está supervisando.

En lugar de un umbral fijo, una alarma puede usar la detección de anomalías de CloudWatch, que aprende el intervalo normal de una métrica y alerta cuando se producen desviaciones respecto a una banda. Esto resulta adecuado para métricas con patrones diarios o semanales, en las que un valor estático podría no detectar problemas o activar alertas constantemente. El sistema se adapta a medida que el comportamiento cambia con el tiempo.

Usted decide cómo trata una alarma los datos faltantes: como correctos, incorrectos, ignorados o como una indicación de que se debe mantener el estado actual. En las alarmas de seguridad esto es importante. Si el registro deja de funcionar porque un atacante lo deshabilitó, tratar los datos faltantes como "breaching" puede convertir el silencio en una señal en lugar de dejar un punto ciego.

Las buenas alarmas de seguridad son específicas, están bien ajustadas y se envían a un canal que las personas supervisan. Un exceso de alarmas ruidosas hace que los equipos aprendan a ignorarlas. Use pocos periodos de evaluación para eventos críticos, como un inicio de sesión del usuario root, de modo que la alerta sea inmediata, y combine las alarmas con automatización para que los eventos más peligrosos reciban una respuesta antes de que alguien lea el correo electrónico.

La cadena completa es la siguiente: una línea de registro que coincide con un filtro de métricas incrementa una métrica; una alarma de CloudWatch supervisa esa métrica y, cuando se supera el umbral, notifica a un tema de SNS que avisa a su equipo y, opcionalmente, activa Lambda. Dominar este flujo es esencial para el dominio de registro y supervisión del examen.

Compruebe sus conocimientos sobre alarmas.

Una alarma de CloudWatch supervisa una métrica y cambia entre OK, ALARM y INSUFFICIENT_DATA según un umbral durante varios periodos de evaluación. Cuando se supera el umbral, publica un mensaje en un tema de SNS que lo distribuye a los suscriptores o activa la automatización. Las alarmas compuestas reducen el ruido, la detección de anomalías se adapta a los patrones y una gestión cuidadosa de los datos faltantes convierte las interrupciones del registro en señales.