Alarmen en meldingen aanmaken

Een CloudWatch-alarm bewaakt één metriek en verandert van status wanneer de waarde gedurende een bepaalde periode een door u ingestelde drempel overschrijdt. Het doel is om een getal dat een limiet overschrijdt om te zetten in een actie, meestal een melding. Met alarmen wordt monitoring waarschuwen.

Een alarm heeft altijd een van drie statussen: OK wanneer de metriek binnen de grenzen valt, ALARM wanneer de drempel wordt overschreden en INSUFFICIENT_DATA wanneer er onvoldoende gegevens zijn om te beslissen. Aan elke statusovergang kunnen acties worden gekoppeld, zodat u zowel een melding krijgt wanneer het probleem begint als wanneer het is opgelost.

Je configureert de statistiek (zoals Sum of Average), de periode (de lengte van elk gegevensvenster) en het aantal evaluatieperioden dat moet worden overschreden voordat het alarm afgaat. Meerdere opeenvolgende slechte perioden verminderen valse alarmen door korte pieken, terwijl één periode de snelst mogelijke waarschuwing geeft.

Alarmen versturen zelf geen e-mail. Ze publiceren naar Amazon SNS (Simple Notification Service), een service voor publiceren en abonneren. Een SNS-topic heeft abonnees, zoals e-mailadressen, sms-nummers of Lambda-functies. Het alarm meldt de gebeurtenis aan het topic en SNS stuurt het bericht door naar iedereen die erop is geabonneerd.

Een melding is niet de enige actie. Een alarm kan een EC2-actie, een Auto Scaling-actie of via SNS of EventBridge een Lambda-functie aanroepen. Hierdoor kan een beveiligingsalarm meer doen dan iemand waarschuwen: het kan direct een geautomatiseerde workflow voor indamming starten zodra een drempelwaarde wordt overschreden.

Een samengesteld alarm combineert meerdere alarmen met AND/OR-logica tot één bovenliggend alarm. Dit vermindert alarmruis: in plaats van drie afzonderlijke meldingen verstuur je slechts één melding wanneer een betekenisvolle combinatie waar is. Dit helpt alarmmoeheid te verminderen, terwijl elk onderliggend alarm beschikbaar blijft voor details.

Het SNS-topic maakt deel uit van je meldingsketen, dus bescherm het. Gebruik een toegangsbeleid voor het topic om te bepalen wie mag publiceren en zich mag abonneren, en overweeg server-side-encryptie met KMS voor gevoelige meldingsinhoud. Een aanvaller die zich op je meldingstopic kan abonneren, leert precies waarop je let.

In plaats van een vaste drempelwaarde kan een alarm CloudWatch-anomaliedetectie gebruiken. Die leert het normale bereik van een metriek en waarschuwt bij afwijkingen buiten een bandbreedte. Dit is geschikt voor metrieken met dagelijkse of wekelijkse patronen, waarbij een statisch getal problemen zou missen of voortdurend alarm zou slaan. De detectie past zich aan wanneer het gedrag in de loop van de tijd verandert.

Je bepaalt hoe een alarm omgaat met ontbrekende gegevens: als goed, slecht, negeren of als behoud van de huidige status. Voor beveiligingsalarmen is dit belangrijk. Als je logging stopt omdat een aanvaller deze heeft uitgeschakeld, kan het behandelen van ontbrekende gegevens als "breaching" stilte in een signaal veranderen in plaats van in een blinde vlek.

Goede beveiligingsalarmen zijn specifiek, goed afgestemd en doorgestuurd naar een kanaal dat mensen in de gaten houden. Te veel alarmen met ruis leren teams om ze te negeren. Gebruik weinig evaluatieperioden voor kritieke gebeurtenissen, zoals een root-aanmelding, zodat de waarschuwing direct komt. Combineer alarmen ook met automatisering, zodat de gevaarlijkste gebeurtenissen worden aangepakt voordat iemand de e-mail leest.

De volledige keten is als volgt: een logregel die door een metriekfilter wordt herkend, verhoogt een metriek; een CloudWatch-alarm bewaakt die metriek en meldt bij een overschrijding een SNS-topic, dat je team waarschuwt en optioneel Lambda activeert. Deze volledige werking beheersen is essentieel voor het logging- en monitoringdomein van het examen.

Een CloudWatch-alarm bewaakt één metriek en wisselt tussen OK, ALARM en INSUFFICIENT_DATA op basis van een drempelwaarde over evaluatieperioden. Bij een overschrijding publiceert het alarm naar een SNS-topic, dat het bericht doorstuurt naar abonnees of automatisering activeert. Samengestelde alarmen verminderen ruis, anomaliedetectie past zich aan patronen aan en zorgvuldige verwerking van ontbrekende gegevens maakt van hiaten in logging signalen.