Tworzenie alarmów i powiadomień

Alarm CloudWatch monitoruje pojedynczą metrykę i zmienia stan, gdy jej wartość przekroczy zdefiniowany próg w określonym czasie. Jego zadaniem jest przekształcenie liczby przekraczającej limit w akcję, najczęściej w powiadomienie. Alarmy sprawiają, że monitorowanie staje się alarmowaniem.

Alarm zawsze znajduje się w jednym z trzech stanów: OK, gdy metryka mieści się w dozwolonych granicach; ALARM, gdy próg został przekroczony; oraz INSUFFICIENT_DATA, gdy brakuje danych pozwalających podjąć decyzję. Akcje można przypisać do przejścia do dowolnego stanu, dzięki czemu można otrzymywać powiadomienia zarówno o rozpoczęciu problemu, jak i o jego ustąpieniu.

Konfigurują Państwo statystykę (taką jak suma lub średnia), okres (długość każdego okna danych) oraz liczbę okresów oceny, które muszą przekroczyć próg, aby alarm został uruchomiony. Wymaganie kilku kolejnych nieprawidłowych okresów ogranicza liczbę fałszywych alarmów powodowanych przez krótkotrwałe skoki, natomiast jeden okres zapewnia najszybsze możliwe powiadomienie.

Alarmy nie wysyłają samodzielnie wiadomości e-mail. Publikują komunikaty w usłudze Amazon SNS (Simple Notification Service), czyli usłudze pub/sub. Temat SNS ma subskrybentów, takich jak adresy e-mail, numery SMS lub funkcje Lambda. Alarm powiadamia temat, a SNS rozsyła komunikat do wszystkich subskrybentów.

Powiadomienie nie jest jedyną możliwą akcją. Alarm może wywołać akcję EC2, akcję Auto Scaling albo, za pośrednictwem SNS lub EventBridge, funkcję Lambda. Dzięki temu alarm bezpieczeństwa może zrobić więcej niż tylko powiadomić odpowiednią osobę — może natychmiast uruchomić zautomatyzowany proces ograniczania skutków incydentu po przekroczeniu progu.

Alarm złożony łączy kilka alarmów za pomocą logiki AND/OR w jeden alarm nadrzędny. Ogranicza to liczbę powiadomień: zamiast trzech osobnych alertów otrzymują Państwo jedno powiadomienie, tylko gdy spełniona jest istotna kombinacja warunków. Jest to przydatne do ograniczania zmęczenia alertami, przy jednoczesnym zachowaniu dostępu do każdego alarmu składowego w celu uzyskania szczegółów.

Temat SNS jest częścią łańcucha alertów, dlatego należy go chronić. Proszę użyć polityki dostępu do tematu, aby kontrolować, kto może publikować i subskrybować temat, oraz rozważyć szyfrowanie po stronie serwera za pomocą KMS w przypadku poufnej treści alertów. Osoba atakująca, która może subskrybować temat alertów, dowie się dokładnie, czego Państwo szukają.

Zamiast stałego progu alarm może korzystać z funkcji wykrywania anomalii CloudWatch, która uczy się normalnego zakresu wartości metryki i ostrzega o odchyleniach od przedziału. Sprawdza się to w przypadku metryk z dobowymi lub tygodniowymi wzorcami, dla których stała wartość mogłaby przeoczyć problemy albo powodować ciągłe alarmy. Funkcja dostosowuje się do zmian zachowania w czasie.

Decydują Państwo, jak alarm ma traktować brakujące dane: jako prawidłowe, nieprawidłowe, ignorowane lub jako polecenie zachowania bieżącego stanu. W przypadku alarmów bezpieczeństwa ma to znaczenie. Jeśli rejestrowanie zostanie zatrzymane, ponieważ osoba atakująca je wyłączyła, traktowanie brakujących danych jako „przekroczenie progu” może zamienić ciszę w sygnał zamiast w lukę w monitorowaniu.

Dobre alarmy bezpieczeństwa są konkretne, odpowiednio dostrojone i kierowane do kanału monitorowanego przez ludzi. Zbyt duża liczba głośnych alarmów uczy zespoły ich ignorowania. W przypadku krytycznych zdarzeń, takich jak logowanie użytkownika root, proszę używać niewielkiej liczby okresów oceny, aby alert pojawiał się natychmiast, oraz łączyć alarmy z automatyzacją, by najgroźniejsze zdarzenia wywoływały reakcję, zanim ktokolwiek przeczyta wiadomość e-mail.

Pełny łańcuch wygląda następująco: wiersz dziennika dopasowany przez filtr metryki zwiększa wartość metryki, alarm CloudWatch monitoruje tę metrykę, a po przekroczeniu progu powiadamia temat SNS, który wysyła alert do Państwa zespołu i opcjonalnie uruchamia funkcję Lambda. Opanowanie tego przepływu jest kluczowe dla domeny rejestrowania i monitorowania na egzaminie.

Proszę sprawdzić swoją wiedzę o alarmach.

Alarm CloudWatch monitoruje jedną metrykę i przechodzi między stanami OK, ALARM oraz INSUFFICIENT_DATA na podstawie progu w kolejnych okresach oceny. Po przekroczeniu progu publikuje komunikat w temacie SNS, który rozsyła go do subskrybentów lub uruchamia automatyzację. Alarmy złożone ograniczają liczbę powiadomień, wykrywanie anomalii dostosowuje się do wzorców, a odpowiednia obsługa brakujących danych zamienia luki w rejestrowaniu w sygnały.