Monitor and secure: CloudWatch, CloudTrail, KMS, GuardDuty

1. CloudWatch #

Métriques, logs et alarmes.

Principes #

• Métriques : publiées automatiquement par les services (CPU EC2, latence ALB…) ; l'agent CloudWatch ajoute mémoire et disque.
• Logs : groupes de journaux, requêtes avec Logs Insights, rétention à définir (illimitée par défaut).
• Alarmes : seuil ou détection d'anomalie, actions SNS, Auto Scaling ou EC2.

Exemples #

aws cloudwatch put-metric-alarm --alarm-name api-5xx --namespace AWS/ApplicationELB \
  --metric-name HTTPCode_Target_5XX_Count --dimensions Name=LoadBalancer,Value=app/api/abc123 \
  --statistic Sum --period 300 --evaluation-periods 2 --threshold 20 --comparison-operator GreaterThanThreshold \
  --alarm-actions arn:aws:sns:eu-west-3:123456789012:astreinte
aws logs put-retention-policy --log-group-name /aws/lambda/api --retention-in-days 30
# Logs Insights : erreurs par minute
# fields @timestamp, @message | filter @message like /ERROR/ | stats count() by bin(1m)

2. Audit et conformité #

CloudTrail et AWS Config.

CloudTrail #

CloudTrail enregistre les appels d'API (console, CLI, SDK) : qui, quand, d'où, avec quel résultat. Créez un trail d'organisation, multi-région, vers un bucket S3 d'un compte dédié aux journaux, avec validation d'intégrité.

aws cloudtrail lookup-events --lookup-attributes AttributeKey=EventName,AttributeValue=DeleteBucket --max-results 5

AWS Config #

AWS Config historise la configuration de chaque ressource et évalue des règles (bucket public, volume non chiffré, groupe de sécurité ouvert à 0.0.0.0/0 sur le port 22), avec remédiation automatique possible.

3. Protéger #

Chiffrement, secrets, menaces.

Services #

Bonne Pratique : Activez GuardDuty, Security Hub et Config dans tous les comptes et toutes les régions utilisées, avec un compte d'administration délégué pour la sécurité.