Créer des alarmes et des notifications

Une alarme CloudWatch surveille une seule métrique et change d’état lorsque sa valeur franchit un seuil que vous définissez sur une période donnée. Son rôle est de transformer un nombre dépassant une limite en action, le plus souvent une notification. Les alarmes permettent de transformer la surveillance en alertes.

Une alarme se trouve toujours dans l’un des trois états suivants : OK lorsque la métrique reste dans les limites, ALARM lorsque le seuil est dépassé et INSUFFICIENT_DATA lorsqu’il n’y a pas suffisamment de données pour décider. Des actions peuvent être associées à toute transition d’état, ce qui vous permet d’être averti aussi bien lorsque le problème commence que lorsqu’il disparaît.

Vous configurez la statistique (comme Sum ou la moyenne), la période (la durée de chaque fenêtre de données) et le nombre de périodes d’évaluation qui doivent dépasser le seuil avant le déclenchement de l’alarme. Exiger plusieurs périodes consécutives problématiques réduit les fausses alertes dues à de brèves pointes, tandis qu’une seule période fournit l’alerte la plus rapide possible.

Les alarmes n’envoient pas elles-mêmes d’e-mails. Elles publient des messages sur Amazon SNS (Simple Notification Service), un service de publication et d’abonnement. Un rubrique SNS possède des abonnés, comme des adresses e-mail, des numéros SMS ou des fonctions Lambda. L’alarme notifie la rubrique, puis SNS diffuse le message à toutes les personnes ou tous les services abonnés.

La notification n’est pas la seule action possible. Une alarme peut déclencher une action EC2, une action de mise à l’échelle automatique ou, par l’intermédiaire de SNS ou d’EventBridge, une fonction Lambda. Ainsi, une alarme de sécurité ne se contente pas de prévenir quelqu’un : elle peut lancer un processus automatisé de confinement dès qu’un seuil est franchi.

Une alarme composite combine plusieurs alarmes à l’aide de la logique AND/OR en une alarme parente. Cela réduit le bruit des alarmes : au lieu de déclencher trois alertes distinctes, vous n’en déclenchez qu’une lorsque la combinaison pertinente est vraie. Cette approche réduit la fatigue liée aux alertes tout en conservant chaque alarme sous-jacente pour obtenir des détails.

La rubrique SNS fait partie de votre chaîne d’alerte : vous devez donc la protéger. Utilisez une politique d’accès à la rubrique pour contrôler qui peut publier et s’abonner, et envisagez le chiffrement côté serveur avec KMS pour le contenu sensible des alertes. Un attaquant qui peut s’abonner à votre rubrique d’alerte apprend exactement ce que vous surveillez.

Au lieu d’utiliser un seuil fixe, une alarme peut recourir à la détection d’anomalies de CloudWatch, qui apprend la plage normale d’une métrique et signale les écarts par rapport à une bande. Cette solution convient aux métriques présentant des tendances quotidiennes ou hebdomadaires, pour lesquelles une valeur statique manquerait certains problèmes ou déclencherait des alertes en permanence. Elle s’adapte à l’évolution des comportements au fil du temps.

Vous choisissez la manière dont une alarme traite les données manquantes : comme des données normales, problématiques, ignorées ou comme une indication de conserver l’état actuel. Pour les alarmes de sécurité, ce choix est important. Si votre journalisation s’arrête parce qu’un attaquant l’a désactivée, considérer les données manquantes comme un « dépassement de seuil » peut transformer le silence en signal plutôt qu’en angle mort.

Les bonnes alarmes de sécurité sont précises, bien réglées et acheminées vers un canal surveillé par des personnes. Un trop grand nombre d’alarmes bruyantes apprend aux équipes à les ignorer. Utilisez peu de périodes d’évaluation pour les événements critiques, comme une connexion Root, afin que l’alerte soit immédiate, et associez les alarmes à une automatisation pour que les événements les plus dangereux déclenchent une réponse avant même que quelqu’un ne lise l’e-mail.

La chaîne complète est la suivante : une ligne de journal correspondant à un filtre de métrique incrémente une métrique, une alarme CloudWatch surveille cette métrique et, en cas de dépassement de seuil, elle notifie une rubrique SNS qui alerte votre équipe et peut éventuellement déclencher Lambda. La maîtrise de ce flux est essentielle pour le domaine de la journalisation et de la surveillance de l’examen.

Testez vos connaissances sur les alarmes.

Une alarme CloudWatch surveille une métrique et alterne entre OK, ALARM et DONNÉES_INSUFFISANTES en fonction d’un seuil sur plusieurs périodes d’évaluation. En cas de dépassement, elle publie un message sur une rubrique SNS, qui le diffuse à ses abonnés ou déclenche une automatisation. Les alarmes composites réduisent le bruit, la détection d’anomalies s’adapte aux tendances et une gestion attentive des données manquantes transforme les interruptions de journalisation en signaux.