Skapa larm och aviseringar

Ett CloudWatch alarm övervakar ett enda mätvärde och ändrar tillstånd när värdet passerar ett tröskelvärde som Ni definierar för en viss tidsperiod. Dess uppgift är att omvandla ett tal som överskrider en gräns till en action, oftast en avisering. Larm är det som omvandlar övervakning till larmhantering.

Ett larm befinner sig alltid i ett av tre tillstånd: OK när mätvärdet ligger inom gränserna, ALARM när tröskelvärdet överskrids och INSUFFICIENT_DATA när det inte finns tillräckligt med data för att avgöra läget. Åtgärder kan kopplas till övergångar till vilket tillstånd som helst, så att Ni kan få en avisering både när ett problem börjar och när det försvinner.

Ni konfigurerar statistiken (till exempel Sum eller Average), perioden (längden på varje datafönster) och antalet utvärderingsperioder som måste överskrida tröskelvärdet innan larmet utlöses. Om flera på varandra följande dåliga perioder krävs minskar antalet falsklarm från kortvariga toppar, medan en enda period ger snabbast möjliga avisering.

Larm skickar inte e-post själva. De publicerar till Amazon SNS (Simple Notification Service), en pub/sub-tjänst. Ett SNS-ämne har prenumeranter som e-postadresser, SMS-nummer eller Lambda-funktioner. Larmet meddelar ämnet, och SNS distribuerar meddelandet till alla prenumeranter.

Avisering är inte den enda åtgärden. Ett larm kan anropa en EC2-åtgärd, en Auto Scaling-åtgärd eller, via SNS eller EventBridge, en Lambda-funktion. Det gör att ett säkerhetslarm kan göra mer än att kontakta någon: det kan omedelbart starta ett automatiserat arbetsflöde för isolering när ett tröskelvärde överskrids.

Ett sammansatt larm kombinerar flera larm med AND/OR-logik till ett överordnat larm. Det minskar larmbruset: i stället för tre separata aviseringar skickas en enda när en meningsfull kombination är uppfylld. Det är användbart för att minska larmtrötthet och samtidigt behålla varje underliggande larm för detaljer.

SNS-ämnet är en del av er larmkedja och måste därför skyddas. Använd en åtkomstpolicy för ämnet för att styra vem som får publicera och prenumerera, och överväg kryptering på serversidan med KMS för känsligt larminnehåll. En angripare som kan prenumerera på ert larmämne får veta exakt vad ni övervakar.

I stället för ett fast tröskelvärde kan ett larm använda CloudWatch-anomalidetektering, som lär sig ett mått normala intervall och skickar aviseringar vid avvikelser från ett band. Detta passar mått med dagliga eller veckovisa mönster, där ett statiskt tal antingen skulle missa problem eller utlösa larm hela tiden. Det anpassar sig när beteendet förändras över tid.

Ni bestämmer hur ett larm ska behandla saknade data: som bra, dåliga eller ignorerade data, eller som att det aktuella tillståndet ska behållas. För säkerhetslarm är detta viktigt. Om loggningen upphör eftersom en angripare har inaktiverat den kan saknade data behandlas som "överskridande", så att tystnad blir en signal i stället för en blind fläck.

Bra säkerhetslarm är specifika, väl avstämda och dirigeras till en kanal som människor övervakar. För många brusiga larm gör att team lär sig att ignorera dem. Använd få utvärderingsperioder för kritiska händelser, som root-inloggning, så att aviseringen blir omedelbar, och kombinera larm med automatisering så att de farligaste händelserna får en reaktion innan någon hinner läsa e-postmeddelandet.

Hela kedjan är: en loggrad som matchas av ett måttfilter ökar ett mått, ett CloudWatch-larm övervakar måttet och meddelar vid ett överskridande ett SNS-ämne som kontaktar ert team och eventuellt utlöser Lambda. Att behärska detta flöde är avgörande för provets område loggning och övervakning.

Ett CloudWatch-larm övervakar ett mått och växlar mellan OK, ALARM och INSUFFICIENT_DATA baserat på ett tröskelvärde över utvärderingsperioder. Vid ett överskridande publicerar det till ett SNS-ämne som distribuerar meddelandet till prenumeranter eller utlöser automatisering. Sammansatta larm minskar bruset, anomalidetektering anpassar sig efter mönster och noggrann hantering av saknade data omvandlar luckor i loggningen till signaler.