アラームと通知の作成

CloudWatch アラームは1つのメトリクスを監視し、一定期間にわたって値が定義したしきい値を超えると状態を変更します。その役割は、上限を超えた数値をアクションに変換することです。多くの場合、アクションは通知です。監視をアラートへ変えるのがアラームです。

アラームは常に3つの状態のいずれかになります。メトリクスが範囲内にあるOK、しきい値を超えたALARM、判断に十分なデータがないINSUFFICIENT_DATA です。どの状態への遷移にもアクションを関連付けられるため、問題の発生時だけでなく解消時にも通知できます。

統計値（合計や平均など）、期間（各データウィンドウの長さ）、およびアラームが発火するまでに超過する必要がある評価期間の数を設定します。異常な期間が複数回連続することを条件にすると、短時間の急上昇による誤警報を減らせます。一方、1期間だけにすると、可能な限り迅速に警告できます。

アラーム自体がメールを送信するわけではありません。アラームは、パブリッシュ／サブスクライブ型サービスであるAmazon SNS（Simple Notification Service）に発行します。SNS のトピックには、メールアドレス、SMS 番号、Lambda 関数などのサブスクライバーを登録できます。アラームがトピックに通知すると、SNS が購読している全員にメッセージを配信します。

実行できるアクションは通知だけではありません。アラームはEC2 アクションやAuto Scalingアクションを実行したり、SNS または EventBridge を介してLambda関数を呼び出したりできます。これにより、セキュリティアラームは誰かに通知するだけでなく、しきい値を超えた瞬間に自動的な封じ込めワークフローを開始できます。

複合アラームは、複数のアラームを AND／OR ロジックで組み合わせ、1つの親アラームにします。これによりアラームノイズを減らせます。3件の通知を個別に送る代わりに、意味のある組み合わせが成立したときだけ1回通知できます。基になる各アラームを詳細確認用に維持しながら、アラート疲れを軽減するのに役立ちます。

SNS トピックはアラートチェーンの一部であるため、保護してください。トピックアクセスポリシーを使用して、発行や購読を許可する対象を制御します。また、機密性の高いアラート内容には、KMS を使用したサーバー側の暗号化を検討してください。攻撃者がアラートトピックを購読できると、何を監視しているかを正確に知られてしまいます。

固定のしきい値の代わりに、アラームでCloudWatch 異常検出を使用できます。これはメトリクスの正常範囲を学習し、その帯域からの逸脱を警告します。日次や週次のパターンがあるメトリクスでは、固定値だと問題を見逃したり、常に発火したりする可能性があるため、この方法が適しています。時間の経過に伴う挙動の変化にも適応します。

アラームで欠落データをどのように扱うかを決めます。正常、異常、無視、または現在の状態を維持する、のいずれかとして扱えます。セキュリティアラームでは、これは重要です。攻撃者がログ記録を無効にしたことでログが停止した場合、欠落データを「breaching」として扱えば、沈黙を盲点ではなくシグナルに変えられます。

優れたセキュリティアラームは、対象が明確で適切に調整され、人が監視しているチャネルに通知されます。ノイズの多いアラームが多すぎると、チームはそれらを無視するようになります。root ログインのような重大なイベントでは評価期間を少なくして、即座に警告できるようにしてください。また、アラームを自動化と組み合わせることで、最も危険なイベントに対して、誰かがメールを読む前に対応できます。

一連の流れは次のとおりです。メトリクスフィルターがログ行を照合してメトリクスを増加させ、CloudWatch アラームがそのメトリクスを監視します。しきい値を超えると、アラームはSNS トピックに通知し、チームに通知を送信するとともに、必要に応じてLambdaを起動します。この流れを習得することは、試験のログ記録およびモニタリング分野で不可欠です。

アラームに関する知識を確認しましょう。

CloudWatch アラームは1つのメトリクスを監視し、評価期間におけるしきい値に基づいて、OK、ALARM、INSUFFICIENT_DATAの間を遷移します。しきい値を超えるとSNS トピックに発行し、サブスクライバーに配信したり、自動化を起動したりします。複合アラームはノイズを減らし、異常検出はパターンに適応します。また、欠落データを慎重に処理することで、ログの空白をシグナルに変えられます。