Создание сигналов тревоги и уведомлений

Сигнал тревоги CloudWatch отслеживает один показатель и меняет состояние, когда его значение за заданный период пересекает установленный Вами порог. Его задача — превратить число, вышедшее за предел, в действие, чаще всего в уведомление. Благодаря сигналам тревоги мониторинг превращается в оповещение.

Сигнал тревоги всегда находится в одном из трёх состояний: OK, когда показатель находится в допустимых пределах; ALARM, когда порог превышен; и НЕДОСТАТОЧНО_ДАННЫХ, когда данных недостаточно для принятия решения. Действия можно привязать к переходу в любое состояние, чтобы получать уведомления как о начале проблемы, так и о её устранении.

Вы настраиваете статистику (например, Sum или Average), период (продолжительность каждого окна данных) и количество периодов оценки, которые должны превысить порог, прежде чем сработает сигнал тревоги. Требование нескольких последовательных неблагоприятных периодов уменьшает количество ложных срабатываний из-за кратковременных всплесков, а один период обеспечивает максимально быстрое оповещение.

Сигналы тревоги не отправляют электронные письма самостоятельно. Они публикуют сообщения в Amazon SNS (Simple Notification Service) — службе публикации и подписки. У темы SNS есть подписчики, например адреса электронной почты, номера SMS или функции Lambda. Сигнал тревоги уведомляет тему, а SNS распространяет сообщение среди всех подписчиков.

Оповещение — не единственное возможное действие. Сигнал тревоги может запустить действие EC2, действие Auto Scaling или через SNS либо EventBridge вызвать функцию Lambda. Благодаря этому сигнал безопасности может не просто отправить уведомление: он способен немедленно запустить автоматизированный процесс изоляции сразу после превышения порога.

Составной сигнал тревоги объединяет несколько сигналов с помощью логики AND/OR в один родительский сигнал. Это уменьшает количество уведомлений: вместо трёх отдельных сообщений уведомление отправляется только один раз, когда выполняется значимая комбинация условий. Такой подход помогает снизить усталость от оповещений, сохраняя каждый исходный сигнал для подробного анализа.

Тема SNS является частью цепочки оповещений, поэтому её необходимо защищать. Используйте политику доступа к теме, чтобы контролировать, кто может публиковать сообщения и подписываться, а для конфиденциального содержимого оповещений рассмотрите возможность шифрования на стороне сервера с помощью KMS. Злоумышленник, который может подписаться на вашу тему оповещений, узнает, за чем именно вы наблюдаете.

Вместо фиксированного порога сигнал тревоги может использовать обнаружение аномалий CloudWatch: оно изучает обычный диапазон метрики и оповещает об отклонениях от этого диапазона. Это подходит для метрик с суточными или недельными закономерностями, для которых статическое значение либо пропускало бы проблемы, либо постоянно вызывало срабатывания. Система адаптируется к изменениям поведения со временем.

Вы определяете, как сигнал тревоги обрабатывает отсутствующие данные: считает их нормальными, неблагоприятными, игнорирует их или сохраняет текущее состояние. Для сигналов безопасности это важно. Если ведение журналов прекращается из-за того, что злоумышленник его отключил, обработка отсутствующих данных как состояния "breaching" позволяет превратить молчание в сигнал, а не в слепую зону.

Хорошие сигналы безопасности специфичны, тщательно настроены и направлены в канал, который отслеживают люди. Слишком большое количество шумных сигналов приучает команды игнорировать их. Для критических событий, таких как вход Root, используйте небольшое число периодов оценки, чтобы оповещение было немедленным, и сочетайте сигналы с автоматизацией, чтобы наиболее опасные события обрабатывались ещё до того, как кто-либо прочитает письмо.

Полная цепочка выглядит так: строка журнала, совпавшая с фильтром метрики, увеличивает значение метрики; сигнал тревоги CloudWatch отслеживает эту метрику, а при превышении порога уведомляет тему SNS, которая отправляет сообщение вашей команде и при необходимости запускает Lambda. Освоение этого процесса необходимо для раздела экзамена, посвящённого ведению журналов и мониторингу.

Сигнал тревоги CloudWatch отслеживает одну метрику и переходит между состояниями OK, ALARM и недостаточно данных в зависимости от порога в течение периодов оценки. При превышении порога он публикует сообщение в тему SNS, которая распространяет его среди подписчиков или запускает автоматизацию. Составные сигналы тревоги уменьшают шум, обнаружение аномалий адаптируется к закономерностям, а грамотная обработка отсутствующих данных превращает пробелы в журналах в сигналы.