Ein Unternehmen benötigt eine native AWS-Lösung, um bei wiederholten fehlgeschlagenen Anmeldeversuchen an seinen Bastion-Hosts benachrichtigt zu werden: Eine Benachrichtigung soll ausgelöst werden, wenn innerhalb von 5 Minuten 5 fehlgeschlagene Authentifizierungsversuche auftreten, und die Warnung soll nur an den Systemadministrator gesendet werden, der für den betroffenen Host verantwortlich ist. Welcher Ansatz erfüllt diese Anforderungen?

Die korrekte Lösung verwendet den Amazon CloudWatch-Agenten, um Betriebssystemprotokolle zu sammeln und diese an CloudWatch Logs zu senden. Ein CloudWatch-Alarm kann dann mit einem Metrikfilter konfiguriert werden, um 5 fehlgeschlagene Anmeldeversuche innerhalb von 5 Minuten zu erkennen. Wenn dieser Schwellenwert überschritten wird, veröffentlicht der Alarm eine Benachrichtigung an Amazon SNS. Die SNS-Nachrichtenfilterung ermöglicht es, die Benachrichtigung gezielt an den für den betroffenen Host zuständigen Systemadministrator zu senden, indem beispielsweise Host-spezifische Attribute in der Nachricht gefiltert werden. Die anderen Optionen sind weniger geeignet: Die Verwendung von Amazon EventBridge für Alarme auf Metrikfiltern ist nicht der primäre Anwendungsfall; CloudWatch-Alarme sind dafür vorgesehen. Die Verwendung von EC2-Instance-Tags zur Auswahl von SNS-Themen ist komplexer und weniger flexibel als die SNS-Nachrichtenfilterung für eine gezielte Benachrichtigung pro Administrator. Der AWS Systems Manager Agent sammelt zwar Protokolle, aber das AWS-ConfigureCloudWatch-Dokument ist eher für die Konfiguration als für die direkte Alarmierung basierend auf Metrikfiltern gedacht.