Supervisión
Información general
La supervisión de la entrega de aplicaciones permite detectar eventos inusuales y responder a ellos de manera adecuada. Amazon CloudWatch supervisa los recursos de Amazon Web Services (AWS), incluidos los servicios de AWS para la periferia que se utilizan para la entrega de aplicaciones. Por ejemplo, las métricas del servidor emitidas por los servicios de AWS para la periferia ayudan a detectar aumentos inesperados en los volúmenes de tráfico, caídas significativas en la proporción de aciertos de la memoria caché, aumentos bruscos en el número de errores 5xx o ataques DDoS. Además de las métricas del servidor, CloudWatch recopila y rastrea las métricas de la supervisión del cliente mediante CloudWatch RUM. Se pueden crear paneles personalizados con las métricas de CloudWatch, en los que también se pueden configurar las alarmas.
Métricas del servidor
Métricas nativas de CloudWatch emitidas por los servicios de AWS para la periferia
Tenga en cuenta las siguientes métricas de CloudWatch casi en tiempo real emitidas por los servicios de AWS para la periferia al entregar y proteger su aplicación:
- CloudFront emite las siguientes métricas: solicitudes, bytes descargados, bytes cargados, tasa de errores 4xx, tasa de errores 5xx y tasa de errores total. Tenga en cuenta que estas métricas están disponibles en la región us-east-1, ya que CloudFront es un servicio global. Por un costo adicional, puede habilitar métricas adicionales, como la tasa de aciertos de caché, la latencia de origen y la tasa de errores para códigos de estado específicos.
- CloudFront Functions emite las siguientes métricas en la región us-east-1: invocaciones, errores de validación, errores de ejecución, utilización de la computación y limitaciones.
- Lambda@Edge se basa en AWS Lambda y, por lo tanto, emite un subconjunto de sus métricas, como las invocaciones, los errores, la duración, las ejecuciones simultáneas y las limitaciones. A diferencia de CloudFront Functions, las métricas de Lambda@Edge se emiten en cada región en la que CloudFront ejecuta la característica. La consola de CloudFront ofrece una vista unificada de estas métricas en todas las regiones.
- AWS WAF emite las siguientes métricas: solicitudes permitidas, solicitudes bloqueadas, solicitudes contabilizadas, solicitudes verificadas con Captcha, solicitudes verificadas por un desafío, etc. Cada métrica se puede medir con un nivel de granularidad, como por WebACL, regla, país, dispositivo, etc. Tenga en cuenta que las métricas de AWS WAF están disponibles en la región us-east-1 cuando la ACL web se aplica a CloudFront.
- Shield Advanced emite métricas para los ataques DDoS detectados, como los bits de ataque por segundo, los paquetes por segundo y las solicitudes por segundo.
Puede crear un panel de CloudWatch en función de las métricas anteriores emitidas por los servicios de AWS para la periferia, incluso si las métricas se refieren a varias regiones y cuentas. El siguiente ejemplo es un panel de seguridad basado en las métricas emitidas por las reglas de AWS WAF.
Puede crear un panel de CloudWatch en función de las métricas anteriores emitidas por los servicios de AWS para la periferia, incluso si las métricas se refieren a varias regiones y cuentas. El siguiente ejemplo es un panel de seguridad basado en las métricas emitidas por las reglas de AWS WAF.
Métricas avanzadas
Las métricas avanzadas para su aplicación se pueden crear de varias maneras. La primera se basa en combinar métricas nativas de CloudWatch con otras más sofisticadas, mientras que las otras se basan en registros de servicio.
Para el primer enfoque, utilice Calculadora de métricas de CloudWatch. Por ejemplo, puede calcular el total de solicitudes por segundo entregadas por CloudFront dividiendo la métrica Solicitudes de CloudFront entre el periodo de medición (m1/PERIOD(m1)). Otro ejemplo es crear una métrica compuesta que refleje el estado de la aplicación mediante una combinación lógica de otras métricas (por ejemplo., En buen estado si la tasa de errores 5xx de CloudFront es inferior al 0,5 % Y la latencia del servidor es inferior a 1 s). Esta métrica compuesta se puede usar luego con las comprobaciones de estado de Shield Avanzado.
En el segundo enfoque, utilice los registros generados por los servicios de AWS para la periferia para emitir métricas personalizadas. Algunas implementaciones incluyen:
- Configuración de filtros de métricas en los registros enviados a Registros de CloudWatch. Por ejemplo, puede configurar su función de CloudFront para registrar las apariciones de solicitudes con una cadena de consulta determinada y usar un filtro de métricas para contabilizarlas.
- Procesamiento de los registros de CloudFront y WAF enviados a Kinesis mediante Lambda para emitir métricas personalizadas. Eche un vistazo a este ejemplo de implementación.
Alertas
Puede crear alarmas para recibir notificaciones cuando las métricas de CloudWatch indiquen un evento inusual. Siga los pasos de este blog para configurar una alarma basada en un umbral de tasa de errores 5xx en CloudFront. Además de generar alarmas en función de los umbrales, la detección de anomalías de CloudWatch le permite crear puntos de referencias para sus métricas y crear alarmas en función de los cambios anormales en comparación con dicho punto de referencia.
Resultados de seguridad en Security Hub
AWS Firewall Manager crea resultados en AWS Security Hub para los recursos que no cumplen los requisitos y para los ataques detectados por Shield Avanzado.
CloudWatch Internet Monitor
CloudWatch Internet Monitor permite visualizar el rendimiento de sus aplicaciones conectadas a Internet mediante los datos de conectividad que AWS recopila de su red global. Internet Monitor proporciona una observabilidad continua de las mediciones de Internet, como la disponibilidad y el rendimiento, adaptadas a la huella de su carga de trabajo en AWS. Puede usar Internet Monitor para obtener información sobre las métricas promedio de rendimiento de Internet a lo largo del tiempo y sobre problemas (eventos) por ubicación y proveedor de servicios de Internet (ISP). Con Internet Monitor, puede identificar fácilmente qué eventos de las aplicaciones que utilizan servicios como CloudFront repercuten en la experiencia del usuario final. Consulte esta entrada del blog sobre cómo supervisar el tráfico de Internet a CloudFront Edge con un solo clic con Amazon CloudWatch Internet Monitor.
Supervisión del cliente
Además de las métricas del servidor, se recomienda recopilar las del cliente mediante CloudWatch RUM. RUM le brinda los datos más precisos sobre el comportamiento de su aplicación web desde la perspectiva de los usuarios. Para usar CloudWatch RUM, debe agregar una etiqueta JavaScript a sus páginas web. Esta etiqueta recopila datos de las API del navegador, como los tiempos de carga de las páginas, las Métricas web principales o los errores de la aplicación, y luego los envía a CloudWatch RUM para la creación de paneles. Además, CloudWatch RUM emite métricas de CloudWatch como WebVitalsCumulativeLayoutShift, WebVitalsFirstInputDelay, WebVitalsLargestContentfulPaint, JsErrorCount, HttpStatusCodeCount, etc.