การสร้างการแจ้งเตือนและการแจ้งให้ทราบ

การแจ้งเตือน CloudWatchจะเฝ้าดูตัวชี้วัดเดียวและเปลี่ยนสถานะเมื่อค่าข้ามขีดจำกัดที่คุณกำหนดภายในช่วงเวลาหนึ่ง หน้าที่ของมันคือเปลี่ยนตัวเลขที่เกินขีดจำกัดให้เป็น การดำเนินการ ซึ่งโดยมากคือการแจ้งเตือน การแจ้งเตือนคือกลไกที่เปลี่ยนการตรวจติดตามให้กลายเป็นการแจ้งเหตุ

การแจ้งเตือนจะอยู่ในหนึ่งในสามสถานะเสมอ ได้แก่ OK เมื่อตัวชี้วัดอยู่ในขอบเขต ALARM เมื่อค่าข้ามขีดจำกัด และ INSUFFICIENT_DATA เมื่อมีข้อมูลไม่เพียงพอสำหรับตัดสินใจ คุณสามารถผูกการดำเนินการไว้กับการเปลี่ยนสถานะใดก็ได้ จึงแจ้งเตือนได้ทั้งเมื่อปัญหาเริ่มต้นและเมื่อปัญหาสิ้นสุด

คุณกำหนด สถิติ (เช่น Sum หรือ Average) ช่วงเวลา (ความยาวของหน้าต่างข้อมูลแต่ละช่วง) และจำนวน ช่วงเวลาประเมินผล ที่ต้องเกินเกณฑ์ก่อนการแจ้งเตือนจะทำงาน การกำหนดให้หลายช่วงเวลาที่มีปัญหาเกิดขึ้นติดต่อกันช่วยลดการแจ้งเตือนผิดพลาดจากการพุ่งขึ้นชั่วครู่ ขณะที่การใช้เพียงช่วงเวลาเดียวจะส่งการแจ้งเตือนได้เร็วที่สุด

การแจ้งเตือนไม่ได้ส่งอีเมลด้วยตัวเอง แต่จะเผยแพร่ไปยัง Amazon SNS (บริการแจ้งเตือนแบบง่าย) ซึ่งเป็นบริการเผยแพร่/สมัครรับข้อมูล หัวข้อของ SNS มีผู้สมัครรับข้อมูล เช่น ที่อยู่อีเมล หมายเลข SMS หรือฟังก์ชัน Lambda การแจ้งเตือนจะแจ้งไปยังหัวข้อ แล้ว SNS จะกระจายข้อความต่อไปยังทุกคนที่สมัครรับข้อมูล

การแจ้งเตือนไม่ใช่การดำเนินการเพียงอย่างเดียว การแจ้งเตือนสามารถเรียกใช้ การดำเนินการของ EC2 การดำเนินการของ Auto Scaling หรือฟังก์ชัน Lambda ผ่าน SNS หรือ EventBridge ได้ ทำให้การแจ้งเตือนด้านความปลอดภัยทำได้มากกว่าการแจ้งให้คนใดคนหนึ่งทราบ โดยสามารถเริ่มกระบวนการควบคุมเหตุการณ์แบบอัตโนมัติได้ทันทีที่ค่าเกินเกณฑ์

การแจ้งเตือนแบบผสมจะรวมการแจ้งเตือนหลายรายการเป็นรายการหลักหนึ่งรายการโดยใช้ตรรกะ AND/OR วิธีนี้ช่วยลดเสียงรบกวนจากการแจ้งเตือน แทนที่จะส่งการแจ้งเตือนแยกกันสามครั้ง ระบบจะส่งเพียงครั้งเดียวเมื่อเงื่อนไขสำคัญหลายอย่างเป็นจริง เหมาะสำหรับลดความเหนื่อยล้าจากการแจ้งเตือน โดยยังคงดูรายละเอียดจากการแจ้งเตือนแต่ละรายการได้

หัวข้อ SNS เป็นส่วนหนึ่งของสายการแจ้งเตือนของคุณ จึงควรป้องกันให้ดี ใช้ นโยบายการเข้าถึงหัวข้อเพื่อควบคุมว่าใครสามารถเผยแพร่และสมัครรับข้อมูลได้ และพิจารณาใช้ การเข้ารหัสฝั่งเซิร์ฟเวอร์ร่วมกับ KMS สำหรับเนื้อหาการแจ้งเตือนที่ละเอียดอ่อน หากผู้โจมตีสามารถสมัครรับข้อมูลหัวข้อการแจ้งเตือนของคุณได้ พวกเขาจะทราบทันทีว่าคุณกำลังเฝ้าระวังอะไร

แทนที่จะใช้เกณฑ์ตายตัว การแจ้งเตือนสามารถใช้ การตรวจจับความผิดปกติของ CloudWatch ซึ่งจะเรียนรู้ช่วงค่าปกติของเมตริกและแจ้งเตือนเมื่อค่าเบี่ยงเบนออกจากช่วงดังกล่าว วิธีนี้เหมาะกับเมตริกที่มีรูปแบบรายวันหรือรายสัปดาห์ ซึ่งการใช้ตัวเลขคงที่อาจทำให้พลาดปัญหาหรือแจ้งเตือนอยู่ตลอด ระบบจะปรับตัวตามพฤติกรรมที่เปลี่ยนแปลงไปตามเวลา

คุณเป็นผู้กำหนดว่าการแจ้งเตือนจะจัดการกับ ข้อมูลที่ขาดหายอย่างไร โดยถือว่าเป็นข้อมูลดี ข้อมูลไม่ดี ข้อมูลที่ละเว้น หรือให้คงสถานะปัจจุบันไว้ สำหรับการแจ้งเตือนด้านความปลอดภัย เรื่องนี้มีความสำคัญ หากการบันทึกข้อมูลหยุดลงเพราะผู้โจมตีปิดใช้งาน การถือว่าข้อมูลที่ขาดหายเป็น "เกินเกณฑ์" จะเปลี่ยนความเงียบให้กลายเป็นสัญญาณ แทนที่จะเป็นจุดบอด

การแจ้งเตือนด้านความปลอดภัยที่ดีต้องจำเพาะ ปรับค่าอย่างเหมาะสม และส่งต่อไปยังช่องทางที่มีคนเฝ้าดูอยู่ การแจ้งเตือนที่มีเสียงรบกวนมากเกินไปจะทำให้ทีมเรียนรู้ที่จะเพิกเฉย ใช้ช่วงเวลาประเมินผลจำนวนน้อยสำหรับเหตุการณ์สำคัญ เช่น การเข้าสู่ระบบของผู้ใช้ Root เพื่อให้แจ้งเตือนได้ทันที และเชื่อมการแจ้งเตือนเข้ากับระบบอัตโนมัติ เพื่อให้เหตุการณ์ที่อันตรายที่สุดได้รับการตอบสนองก่อนที่ใครจะเปิดอ่านอีเมล

สายการทำงานทั้งหมดคือ บรรทัดบันทึกที่ตรงกับ ตัวกรองเมตริกจะเพิ่มค่าให้กับ เมตริก จากนั้น การแจ้งเตือนของ CloudWatchจะเฝ้าดูเมตริกนั้น และเมื่อค่าเกินเกณฑ์ ระบบจะแจ้งไปยัง หัวข้อ SNS ซึ่งจะแจ้งทีมของคุณและอาจเรียกใช้ Lambda ด้วย การทำความเข้าใจกระบวนการนี้เป็นสิ่งจำเป็นสำหรับหัวข้อการบันทึกและการตรวจติดตามในข้อสอบ

ทดสอบความรู้เกี่ยวกับการแจ้งเตือนของคุณ

การแจ้งเตือนของ CloudWatchจะเฝ้าดูเมตริกหนึ่งรายการและเปลี่ยนสถานะระหว่าง OK ALARM และ ข้อมูลไม่เพียงพอ โดยพิจารณาจากเกณฑ์ตลอดช่วงเวลาประเมินผล เมื่อค่าเกินเกณฑ์ ระบบจะเผยแพร่ไปยัง หัวข้อ SNS ซึ่งกระจายต่อไปยังผู้สมัครรับข้อมูลหรือเรียกใช้ระบบอัตโนมัติ การแจ้งเตือนแบบผสมช่วยลดเสียงรบกวน การตรวจจับความผิดปกติปรับตามรูปแบบ และการ จัดการข้อมูลที่ขาดหายอย่างรอบคอบช่วยเปลี่ยนช่องว่างในการบันทึกข้อมูลให้เป็นสัญญาณ