Alarmlar ve Bildirimler Oluşturma

Bir CloudWatch alarmı, tek bir ölçümü izler ve değer belirlediğiniz bir zaman aralığında tanımladığınız eşiği aştığında durumunu değiştirir. Görevi, sınırı aşan bir sayıyı çoğunlukla bildirim olan bir eyleme dönüştürmektir. İzlemeyi uyarıya dönüştüren şey alarmlardır.

Bir alarm her zaman üç durumdan birindedir: ölçüm sınırlar içindeyken OK, eşik aşıldığında ALARM ve karar vermek için yeterli veri olmadığında YETERSİZ_VERİ. Herhangi bir durum geçişine eylemler eklenebilir; böylece hem sorun başladığında hem de çözüldüğünde bildirim alabilirsiniz.

istatistiği (Sum veya Average gibi), dönemi (her veri penceresinin uzunluğu) ve alarm tetiklenmeden önce aşılması gereken değerlendirme dönemlerinin sayısını yapılandırırsınız. Art arda gelen birkaç kötü dönemi zorunlu tutmak, kısa süreli ani yükselişlerden kaynaklanan yanlış alarmları azaltırken tek bir dönem mümkün olan en hızlı uyarıyı sağlar.

Alarmlar e-postayı kendileri göndermez. Bir pub/sub hizmeti olan Amazon SNS (Basit Bildirim Hizmeti) hizmetine yayın yaparlar. Bir SNS konusunun e-posta adresleri, SMS numaraları veya Lambda işlevleri gibi aboneleri vardır. Alarm konuya bildirim gönderir ve SNS mesajı abone olan herkesin alacağı şekilde dağıtır.

Bildirim göndermek tek eylem değildir. Bir alarm EC2 eylemini, Auto Scaling eylemini veya SNS ya da EventBridge üzerinden bir Lambda işlevini çağırabilir. Bu sayede güvenlik alarmı yalnızca bir kişiye uyarı göndermekle kalmaz: eşik aşıldığı anda otomatik bir sınırlama iş akışını başlatabilir.

Bileşik alarm, birkaç alarmı AND/OR mantığını kullanarak tek bir üst alarmda birleştirir. Bu, alarm gürültüsünü azaltır: üç ayrı uyarı göndermek yerine yalnızca anlamlı bir bileşim doğru olduğunda bir kez uyarı verirsiniz. Her bir temel alarmı ayrıntılar için kullanılabilir durumda tutarken uyarı yorgunluğunu azaltmak için yararlıdır.

SNS konusu uyarı zincirinizin bir parçasıdır; bu nedenle onu koruyun. Kimlerin yayın yapabileceğini ve abone olabileceğini denetlemek için bir konu erişim ilkesi kullanın ve hassas uyarı içeriği için KMS ile sunucu tarafı şifrelemeyi değerlendirin. Uyarı konunuza abone olabilen bir saldırgan, tam olarak neyi izlediğinizi öğrenir.

Sabit bir eşik yerine alarm, bir metriğin normal aralığını öğrenen ve bir banttan sapmaları bildiren CloudWatch anomali tespitini kullanabilir. Bu yöntem, statik bir sayının sorunları ya gözden kaçıracağı ya da sürekli alarm üreteceği günlük veya haftalık örüntülere sahip metrikler için uygundur. Davranış zaman içinde değiştikçe kendini uyarlar.

Bir alarmın eksik verileri nasıl değerlendireceğine siz karar verirsiniz: iyi, kötü, yok sayılmış veya mevcut durum korunuyormuş gibi. Bu, güvenlik alarmları için önemlidir. Bir saldırgan devre dışı bıraktığı için günlük kaydınız durursa eksik verileri "ihlal ediyor" olarak değerlendirmek, sessizliği kör noktaya değil bir sinyale dönüştürebilir.

İyi güvenlik alarmları özeldir, doğru ayarlanmıştır ve insanların izlediği bir kanala yönlendirilir. Gereğinden fazla gürültülü alarm, ekipleri bunları görmezden gelmeye alıştırır. Root oturumu açma gibi kritik olaylarda uyarının hemen gelmesi için az sayıda değerlendirme dönemi kullanın ve en tehlikeli olayların biri e-postayı okumadan önce yanıtlanmasını sağlamak için alarmları otomasyonla birlikte kullanın.

Tam zincir şöyledir: bir metrik filtresiyle eşleşen bir günlük satırı bir metriği artırır, bir CloudWatch alarmı bu metriği izler ve ihlal durumunda ekibinize uyarı gönderen ve isteğe bağlı olarak Lambda işlevini tetikleyen bir SNS konusuna bildirim gönderir. Bu akışta uzmanlaşmak, sınavın günlük kaydı ve izleme alanı için çok önemlidir.

Alarm bilginizi sınayın.

Bir CloudWatch alarmı tek bir metriği izler ve değerlendirme dönemleri boyunca bir eşiğe göre OK, ALARM ve YETERSİZ_VERİ durumları arasında geçiş yapar. İhlal durumunda, abonelere bildirim dağıtan veya otomasyonu tetikleyen bir SNS konusuna yayın yapar. Bileşik alarmlar gürültüyü azaltır, anomali tespiti örüntülere uyum sağlar ve dikkatli eksik veri yönetimi günlük kaydı boşluklarını sinyallere dönüştürür.