Membuat Alarm dan Notifikasi

Alarm CloudWatch memantau satu metrik dan mengubah status ketika nilainya melewati ambang batas yang Anda tentukan selama jangka waktu tertentu. Tugasnya adalah mengubah angka yang melampaui batas menjadi sebuah tindakan, biasanya berupa pemberitahuan. Alarm mengubah pemantauan menjadi pemberian peringatan.

Alarm selalu berada dalam salah satu dari tiga status: OK ketika metrik masih dalam batas, ALARM ketika ambang batas terlampaui, dan INSUFFICIENT_DATA ketika data yang tersedia tidak cukup untuk menentukan keadaan. Tindakan dapat dikaitkan dengan perpindahan status apa pun, sehingga Anda dapat menerima pemberitahuan saat masalah dimulai maupun saat masalah terselesaikan.

Anda mengonfigurasi statistik (seperti Sum atau Average), periode (durasi setiap jendela data), dan jumlah periode evaluasi yang harus melampaui ambang batas sebelum alarm aktif. Mewajibkan beberapa periode buruk berturut-turut mengurangi alarm palsu akibat lonjakan singkat, sedangkan satu periode memberikan peringatan secepat mungkin.

Alarm tidak mengirim email secara langsung. Alarm menerbitkan pesan ke Amazon SNS (Simple Notification Service), yaitu layanan pub/sub. Sebuah topik SNS memiliki pelanggan seperti alamat email, nomor SMS, atau fungsi Lambda. Alarm memberi tahu topik tersebut, lalu SNS menyebarkan pesan kepada semua pelanggan yang berlangganan.

Notifikasi bukan satu-satunya tindakan. Alarm dapat memanggil tindakan EC2, tindakan Auto Scaling, atau fungsi Lambda melalui SNS atau EventBridge. Dengan demikian, alarm keamanan tidak hanya memberi tahu seseorang: alarm juga dapat memulai alur kerja penahanan otomatis segera setelah ambang batas terlampaui.

Alarm komposit menggabungkan beberapa alarm menggunakan logika AND/OR menjadi satu alarm induk. Hal ini mengurangi kebisingan alarm: daripada mengirim tiga peringatan terpisah, sistem hanya memberi tahu sekali ketika kombinasi yang bermakna terpenuhi. Fitur ini berguna untuk mengurangi kelelahan akibat peringatan, sekaligus tetap menyediakan setiap alarm dasar untuk melihat detail.

Topik SNS merupakan bagian dari rangkaian peringatan Anda, jadi lindungilah. Gunakan kebijakan akses topik untuk mengatur siapa yang dapat menerbitkan pesan dan berlangganan, serta pertimbangkan enkripsi sisi server dengan KMS untuk konten peringatan yang sensitif. Penyerang yang dapat berlangganan topik peringatan Anda akan mengetahui dengan tepat apa yang sedang Anda pantau.

Alih-alih menggunakan ambang batas tetap, alarm dapat menggunakan deteksi anomali CloudWatch, yang mempelajari rentang normal suatu metrik dan memberi peringatan jika terjadi penyimpangan dari rentang tersebut. Fitur ini cocok untuk metrik dengan pola harian atau mingguan, yang mungkin terlewat jika menggunakan angka statis atau justru memicu alarm terus-menerus. Sistem menyesuaikan diri seiring perubahan perilaku dari waktu ke waktu.

Anda menentukan cara alarm memperlakukan data yang hilang: sebagai kondisi baik, buruk, diabaikan, atau tetap mempertahankan status saat ini. Hal ini penting untuk alarm keamanan. Jika logging berhenti karena penyerang menonaktifkannya, memperlakukan data yang hilang sebagai kondisi "melampaui ambang batas" dapat mengubah kesunyian menjadi sinyal, bukan titik buta.

Alarm keamanan yang baik bersifat spesifik, disetel dengan tepat, dan diarahkan ke saluran yang dipantau manusia. Terlalu banyak alarm yang bising akan melatih tim untuk mengabaikannya. Gunakan sedikit periode evaluasi untuk peristiwa kritis seperti login Root agar peringatan muncul segera, dan padukan alarm dengan otomatisasi agar peristiwa paling berbahaya mendapat respons sebelum siapa pun membaca email.

Rangkaian lengkapnya adalah: satu baris log yang cocok dengan filter metrik menambah nilai sebuah metrik, alarm CloudWatch memantau metrik tersebut, lalu saat ambang batas terlampaui alarm memberi tahu topik SNS yang mengirim peringatan kepada tim Anda dan, secara opsional, memicu Lambda. Menguasai alur ini penting untuk bidang logging dan pemantauan dalam ujian.

Uji pengetahuan Anda tentang alarm.

Alarm CloudWatch memantau satu metrik dan berpindah antara OK, ALARM, dan INSUFFICIENT_DATA berdasarkan ambang batas selama beberapa periode evaluasi. Saat ambang batas terlampaui, alarm menerbitkan pesan ke topik SNS yang menyebarkannya kepada pelanggan atau memicu otomatisasi. Alarm komposit mengurangi kebisingan, deteksi anomali menyesuaikan diri dengan pola, dan penanganan data yang hilang secara cermat mengubah celah logging menjadi sinyal.