Criando Alarmes e Notificações

Um alarme do CloudWatch monitora uma única métrica e muda de estado quando o valor ultrapassa um limite definido por você durante um período. Sua função é transformar um número que excede um limite em uma ação, geralmente uma notificação. Os alarmes são o que transforma o monitoramento em alertas.

Um alarme está sempre em um de três estados: OK quando a métrica está dentro dos limites, ALARM quando o limite é ultrapassado e INSUFFICIENT_DATA quando não há dados suficientes para decidir. É possível associar ações a qualquer mudança de estado, permitindo enviar notificações tanto quando um problema começa quanto quando é resolvido.

Você configura a estatística (como Sum ou Média), o período (a duração de cada janela de dados) e o número de períodos de avaliação que precisam ultrapassar o limite antes que o alarme seja acionado. Exigir vários períodos consecutivos fora do esperado reduz os alarmes falsos causados por picos breves, enquanto um único período proporciona o alerta mais rápido possível.

Os alarmes não enviam e-mails diretamente. Eles publicam no Amazon SNS (Simple Notification Service), um serviço de publicação e assinatura. Um tópico do SNS tem assinantes, como endereços de e-mail, números de SMS ou funções Lambda. O alarme notifica o tópico, e o SNS distribui a mensagem a todos os assinantes.

A notificação não é a única ação possível. Um alarme pode invocar uma ação do EC2, uma ação do Auto Scaling ou, por meio do SNS ou do EventBridge, uma função Lambda. Isso permite que um alarme de segurança faça mais do que avisar alguém: ele pode iniciar um fluxo de trabalho automatizado de contenção no instante em que um limite é ultrapassado.

Um alarme composto combina vários alarmes usando a lógica AND/OR em um único alarme principal. Isso reduz o excesso de alarmes: em vez de três avisos separados, você aciona apenas um quando uma combinação relevante é verdadeira. Esse recurso é útil para reduzir a fadiga de alertas e, ao mesmo tempo, manter cada alarme subjacente disponível para obter detalhes.

O tópico do SNS faz parte da sua cadeia de alertas, portanto proteja-o. Use uma política de acesso ao tópico para controlar quem pode publicar e assinar, e considere a criptografia no lado do servidor com KMS para conteúdos de alertas confidenciais. Um invasor que consiga assinar seu tópico de alertas descobrirá exatamente o que você está monitorando.

Em vez de um limite fixo, um alarme pode usar a detecção de anomalias do CloudWatch, que aprende o intervalo normal de uma métrica e alerta quando há desvios em relação a uma faixa. Isso é adequado para métricas com padrões diários ou semanais, nas quais um valor estático poderia deixar de detectar problemas ou disparar constantemente. O recurso se adapta à medida que o comportamento muda ao longo do tempo.

Você decide como um alarme trata dados ausentes: como bons, ruins, ignorados ou como uma indicação para manter o estado atual. Para alarmes de segurança, isso é importante. Se o seu registro de eventos parar porque um invasor o desativou, tratar os dados ausentes como "ultrapassando o limite" pode transformar o silêncio em um sinal, em vez de um ponto cego.

Bons alarmes de segurança são específicos, bem ajustados e encaminhados para um canal monitorado por pessoas. Alarmes excessivamente ruidosos fazem as equipes aprenderem a ignorá-los. Use poucos períodos de avaliação para eventos críticos, como um login de Root, para que o alerta seja imediato, e associe os alarmes a automações para que os eventos mais perigosos recebam uma resposta antes mesmo que alguém leia o e-mail.

A cadeia completa é a seguinte: uma linha de registro identificada por um filtro de métricas incrementa uma métrica; um alarme do CloudWatch monitora essa métrica; e, quando o limite é ultrapassado, ele notifica um tópico do SNS, que alerta sua equipe e, opcionalmente, aciona o Lambda. Dominar esse fluxo é essencial para o domínio de registro e monitoramento da prova.

Teste seus conhecimentos sobre alarmes.

Um alarme do CloudWatch monitora uma métrica e alterna entre OK, ALARM e INSUFFICIENT_DATA com base em um limite ao longo dos períodos de avaliação. Quando o limite é ultrapassado, ele publica em um tópico do SNS, que distribui a mensagem aos assinantes ou aciona uma automação. Alarmes compostos reduzem o excesso de alertas, a detecção de anomalias se adapta aos padrões, e o tratamento cuidadoso de dados ausentes transforma falhas no registro de eventos em sinais.