1. CloudWatch #
Métriques, logs et alarmes.
Principes #
- Métriques : publiées automatiquement par les services (CPU EC2, latence ALB…) ; l'agent CloudWatch ajoute mémoire et disque.
- Logs : groupes de journaux, requêtes avec Logs Insights, rétention à définir (illimitée par défaut).
- Alarmes : seuil ou détection d'anomalie, actions SNS, Auto Scaling ou EC2.
Exemples #
aws cloudwatch put-metric-alarm --alarm-name api-5xx --namespace AWS/ApplicationELB \
--metric-name HTTPCode_Target_5XX_Count --dimensions Name=LoadBalancer,Value=app/api/abc123 \
--statistic Sum --period 300 --evaluation-periods 2 --threshold 20 --comparison-operator GreaterThanThreshold \
--alarm-actions arn:aws:sns:eu-west-3:123456789012:astreinte
aws logs put-retention-policy --log-group-name /aws/lambda/api --retention-in-days 30
# Logs Insights : erreurs par minute
# fields @timestamp, @message | filter @message like /ERROR/ | stats count() by bin(1m)2. Audit et conformité #
CloudTrail et AWS Config.
CloudTrail #
CloudTrail enregistre les appels d'API (console, CLI, SDK) : qui, quand, d'où, avec quel résultat. Créez un trail d'organisation, multi-région, vers un bucket S3 d'un compte dédié aux journaux, avec validation d'intégrité.
aws cloudtrail lookup-events --lookup-attributes AttributeKey=EventName,AttributeValue=DeleteBucket --max-results 5AWS Config #
AWS Config historise la configuration de chaque ressource et évalue des règles (bucket public, volume non chiffré, groupe de sécurité ouvert à 0.0.0.0/0 sur le port 22), avec remédiation automatique possible.
3. Protéger #
Chiffrement, secrets, menaces.
Services #
| Service | Rôle |
|---|---|
| KMS | Clés de chiffrement gérées, utilisées par S3, EBS, RDS… ; journalisées dans CloudTrail |
| Secrets Manager | Stockage et rotation automatique des secrets (mots de passe de base, clés d'API) |
| GuardDuty | Détection d'activité suspecte (identifiants compromis, minage, appels anormaux) |
| Security Hub | Constats consolidés et contrôles de bonnes pratiques (référentiel AWS, CIS) |
| AWS WAF, Shield | Pare-feu applicatif devant CloudFront et ALB, protection DDoS |
Bonne Pratique : Activez GuardDuty, Security Hub et Config dans tous les comptes et toutes les régions utilisées, avec un compte d'administration délégué pour la sécurité.
