अलार्म और सूचनाएं बनाना

CloudWatch अलार्म किसी एक मेट्रिक पर नज़र रखता है और आपके द्वारा निर्धारित समयावधि में मान के सीमा पार करने पर अपनी स्थिति बदलता है। इसका काम सीमा पार करने वाली संख्या को किसी कार्रवाई, आम तौर पर सूचना, में बदलना है। अलार्म ही निगरानी को चेतावनी में बदलते हैं।

अलार्म हमेशा तीन में से किसी एक स्थिति में होता है: मेट्रिक निर्धारित सीमा के भीतर होने पर OK, सीमा पार होने पर ALARM, और निर्णय लेने के लिए पर्याप्त डेटा न होने पर INSUFFICIENT_DATA। किसी भी स्थिति-परिवर्तन से कार्रवाई जोड़ी जा सकती है, इसलिए समस्या शुरू होने और समाप्त होने, दोनों समय सूचना भेजी जा सकती है।

आप आँकड़ा (जैसे Sum या Average), अवधि (हर डेटा विंडो की लंबाई), और उन मूल्यांकन अवधियों की संख्या कॉन्फ़िगर करते हैं, जिनका सीमा पार करना अलार्म सक्रिय होने से पहले आवश्यक है। लगातार कई खराब अवधियों की आवश्यकता रखने से थोड़े समय के उछालों के कारण होने वाले झूठे अलार्म कम होते हैं, जबकि एकल अवधि सबसे तेज़ संभव चेतावनी देती है।

अलार्म स्वयं ईमेल नहीं भेजते। वे Amazon SNS (Simple Notification Service), जो एक प्रकाशन-सदस्यता सेवा है, में संदेश प्रकाशित करते हैं। SNS के विषय के सदस्य ईमेल पते, SMS नंबर या Lambda फ़ंक्शन हो सकते हैं। अलार्म विषय को सूचित करता है और SNS संदेश को सभी सदस्य ग्राहकों तक पहुँचा देता है।

सूचना भेजना ही एकमात्र कार्रवाई नहीं है। कोई अलार्म EC2 कार्रवाई, Auto Scaling कार्रवाई या SNS या EventBridge के माध्यम से किसी Lambda फ़ंक्शन को चला सकता है। इससे सुरक्षा अलार्म किसी व्यक्ति को पेज करने से अधिक कार्य कर सकता है: सीमा पार होते ही यह स्वचालित नियंत्रण-कार्यप्रवाह शुरू कर सकता है।

एक संयुक्त अलार्म कई अलार्म को AND/OR तर्क का उपयोग करके एक मूल अलार्म में जोड़ता है। इससे अलार्म का शोर कम होता है: तीन अलग-अलग पेज के बजाय, केवल तब एक बार अलार्म सक्रिय होता है जब कोई सार्थक संयोजन सत्य हो। यह प्रत्येक मूल अलार्म का विवरण उपलब्ध रखते हुए अलर्ट से होने वाली थकान कम करने में उपयोगी है।

SNS विषय आपके अलर्ट-क्रम का हिस्सा है, इसलिए इसकी सुरक्षा करें। कौन प्रकाशित और सदस्यता ले सकता है, इसे नियंत्रित करने के लिए विषय पहुँच नीति का उपयोग करें और संवेदनशील अलर्ट सामग्री के लिए KMS के साथ सर्वर-पक्ष एन्क्रिप्शन पर विचार करें। जो हमलावर आपके अलर्ट विषय की सदस्यता ले सकता है, वह ठीक-ठीक जान जाता है कि आप किस चीज़ पर निगरानी रख रहे हैं।

निश्चित सीमा के बजाय, कोई अलार्म CloudWatch anomaly detection का उपयोग कर सकता है, जो किसी मेट्रिक की सामान्य सीमा सीखता है और एक बैंड से होने वाले विचलनों पर अलर्ट देता है। यह उन मेट्रिक्स के लिए उपयुक्त है जिनमें दैनिक या साप्ताहिक पैटर्न होते हैं और जहाँ कोई स्थिर संख्या समस्याओं को चूक सकती है या लगातार अलार्म सक्रिय कर सकती है। समय के साथ व्यवहार बदलने पर यह स्वयं अनुकूलित होता है।

आप तय करते हैं कि कोई अलार्म अनुपलब्ध डेटा को अच्छे, खराब, अनदेखे डेटा के रूप में या वर्तमान स्थिति बनाए रखने वाले डेटा के रूप में माने। सुरक्षा अलार्म के लिए यह महत्वपूर्ण है। यदि किसी हमलावर द्वारा लॉगिंग बंद कर देने के कारण लॉग आना रुक जाए, तो अनुपलब्ध डेटा को "सीमा पार" मानने से मौन एक संकेत बन सकता है, न कि निगरानी से छूटा हुआ क्षेत्र।

अच्छे सुरक्षा अलार्म विशिष्ट और अच्छी तरह समायोजित होते हैं तथा ऐसे चैनल पर भेजे जाते हैं जिस पर लोग नज़र रखते हैं। बहुत अधिक शोर वाले अलार्म टीमों को उन्हें अनदेखा करना सिखा देते हैं। Root लॉगिन जैसी महत्वपूर्ण घटनाओं के लिए कम मूल्यांकन अवधियाँ रखें, ताकि अलर्ट तुरंत मिले, और अलार्म को स्वचालन के साथ जोड़ें, ताकि सबसे खतरनाक घटनाओं पर कोई ईमेल पढ़ने से पहले ही प्रतिक्रिया हो जाए।

पूरा क्रम इस प्रकार है: मेट्रिक फ़िल्टर से मेल खाने वाली लॉग पंक्ति किसी मेट्रिक को बढ़ाती है, CloudWatch alarm उस मेट्रिक पर नज़र रखता है, और सीमा पार होने पर यह किसी SNS topic को सूचित करता है, जो आपकी टीम को पेज करता है और वैकल्पिक रूप से Lambda को ट्रिगर करता है। इस प्रवाह में दक्षता परीक्षा के लॉगिंग और निगरानी क्षेत्र के लिए आवश्यक है।

एक CloudWatch alarm एक मेट्रिक पर नज़र रखता है और मूल्यांकन अवधियों में किसी सीमा के आधार पर OK, ALARM और INSUFFICIENT_DATA के बीच बदलता है। सीमा पार होने पर यह किसी SNS topic पर प्रकाशित करता है, जो संदेश को सदस्यों तक पहुँचाता है या स्वचालन को ट्रिगर करता है। संयुक्त अलार्म शोर कम करते हैं, विसंगति-पहचान पैटर्न के अनुसार अनुकूलित होती है, और अनुपलब्ध डेटा का सावधानीपूर्वक प्रबंधन लॉगिंग में आई कमियों को संकेतों में बदल देता है।