CloudWatch détient les logs d'applications et de services, les metric filters qui transforment des motifs de logs en métriques, et les alarmes qui alertent un répondant. C'est à la fois une preuve et le chemin d'alerte : supprimer des log groups retire donc l'enregistrement tandis que supprimer ou désactiver des alarmes retire la notification.
Supprimer ou faire expirer les logs#
aws logs describe-log-groups
aws logs delete-log-group --log-group-name <lg>
# or silently age everything out to the minimum
aws logs put-retention-policy --log-group-name <lg> --retention-in-days 1
Briser le chemin d'alerte#
# remove the metric filter that feeds an alarm
aws logs delete-metric-filter --log-group-name <lg> --filter-name <f>
# delete or neuter the alarm itself
aws cloudwatch delete-alarms --alarm-names <a>
aws cloudwatch disable-alarm-actions --alarm-names <a>
# disable the EventBridge rule that routes an event to a responder
aws events disable-rule --name <rule>
Notes d'exploitation#
disable-alarm-actionslaisse l'alarme présente et au vert tout en réduisant au silence son action SNS ou Lambda, ce qui est plus discret que de la supprimer.- Les log groups livrés vers un compte central (un compte de journalisation dans une organisation) conservent la preuve même après la suppression du groupe local.
- Les metric filters sont le pont habituel entre un motif de log (par exemple un login root) et une alarme ; retirer le filtre aveugle l'alarme sans y toucher.
Outils#
- AWS CLI (
logs,cloudwatch,events) : contrôle des log groups, filtres, alarmes et règles. - Pacu (
detection__disruption) : perturbe CloudWatch aux côtés des autres services de détection.