4. CloudWatch网络指标与告警设计
在AWS网络可观测性体系中，CloudWatch是承载指标采集、告警触发与自动化响应的核心服务。对于EC2实例、弹性网卡（ENI）、NAT网关、ELB等网络组件，CloudWatch默认提供了一组基础网络指标，理解这些指标的语义、采集粒度与统计方式，是设计有效告警的前提。本节围绕NetworkIn/NetworkOut、PacketDrop、StatusCheckFailed等关键指标，讲解如何组合成复合告警，并借助异常检测提升告警质量。
一、核心网络指标的含义与采集方式
EC2实例的默认监控粒度为5分钟（基础监控），开启详细监控后可达到1分钟。网络类指标主要包括：
- NetworkIn：实例在统计周期内接收的字节数，单位Bytes。它反映入站流量规模，常用于判断实例是否被大量请求或数据同步压满。
- NetworkOut：实例在统计周期内发送的字节数，单位Bytes。出站流量异常升高往往意味着数据外泄、爬虫回传或应用异常重试。
- NetworkPacketsIn / NetworkPacketsOut：收发包数量，与字节数结合可推算平均包大小，帮助识别小包攻击或大包传输。
- StatusCheckFailed：实例状态检查失败，包含StatusCheckFailed_Instance（实例级）与StatusCheckFailed_System（系统级）两个子指标。前者通常与操作系统、内核、网络栈有关，后者与底层宿主机、网络设备有关。
需要注意的是，PacketDrop并非EC2实例的默认指标。在EC2层面，丢包通常通过StatusCheckFailed、NetworkPacketsIn/Out的突变以及应用层指标间接反映；而在NAT网关、Transit Gateway、ELB等托管网络组件上，CloudWatch提供了更直接的丢包或错误类指标，例如NAT网关的ErrorPortAllocation、PacketsDropCount，ELB的UnHealthyHostCount、RejectedConnectionCount等。因此设计告警时，必须明确监控对象属于哪一类资源，再选择对应指标。
二、从单指标阈值到复合告警
单一指标阈值告警容易产生误报。例如，NetworkOut突然升高可能只是正常的备份窗口，也可能是数据外泄。此时应使用CloudWatch复合告警（Composite Alarm），将多个告警通过AND/OR逻辑组合，只有满足组合条件才触发，从而降低噪声。
一个典型的复合告警设计思路是：
- 告警A：NetworkOut的Sum在5分钟内超过基线3倍（异常出站流量）。
- 告警B：StatusCheckFailed_Instance的Maximum ≥ 1（实例状态异常）。
- 复合告警C：A OR B，并附加告警D（CPU或连接数异常）作为辅助条件，形成A AND D或B AND D的组合。
复合告警的规则表达式使用ALARM("告警名")语法，例如：
ALARM("HighNetworkOut")
OR
ALARM("InstanceStatusCheckFailed")
AND
ALARM("HighCPUUtilization")该表达式表示：当出站流量异常，或实例状态检查失败且CPU同时异常时触发。这样既覆盖了网络层问题，也避免了单纯流量升高带来的误报。
三、异常检测告警
对于具有明显周期性或波动性的网络指标，固定阈值往往难以设定。CloudWatch异常检测（Anomaly Detection）基于机器学习，为指标建立动态基线带，当实际值超出基线带的上下界时触发告警。它特别适合NetworkIn/NetworkOut这类随业务时段波动的指标。
创建异常检测告警时，需要指定：
- 指标与统计方式，例如NetworkOut的Sum；
- 异常检测带宽（通常为2个标准差）；
- 触发条件，例如“高于带宽上界”或“低于带宽下界”；
- 告警缺失数据的处理方式（missing data treatment）。
异常检测的优势在于无需人工设定固定阈值，能够自适应业务节律；局限在于需要至少两周的历史数据才能建立稳定模型，且对突发性、无历史模式的攻击行为可能反应稍慢。因此实践中常将异常检测与固定阈值告警并用：异常检测负责发现“偏离常态”，固定阈值负责兜底“绝对危险值”。
四、告警设计的关键参数与响应动作
设计告警时，以下参数需要明确：
| 参数 | 说明 | 示例 |
|---|---|---|
| Period | 统计周期 | 300秒（5分钟） |
| EvaluationPeriods | 连续评估周期数 | 2 |
| DatapointsToAlarm | 触发所需的数据点数 | 2（即2个周期都满足） |
| Threshold | 阈值 | NetworkOut Sum > 500MB |
| ComparisonOperator | 比较运算符 | GreaterThanThreshold |
| TreatMissingData | 缺失数据处理 | notBreaching / breaching / missing |
告警触发后，可通过SNS主题通知运维人员，或触发Lambda执行自动修复，例如重启实例、切换流量、扩容NAT网关等。对于StatusCheckFailed_System，AWS支持自动恢复（Auto Recovery），可将实例迁移到健康宿主机。
五、指标、告警与响应的关系图
下图展示了从网络资源产生指标，到CloudWatch评估、复合告警组合、异常检测判断，最终触发通知或自动响应的完整链路。图中同时标出了各环节的关键参数与判断条件，便于对照设计自己的告警方案。
在实际落地时，建议先为每个关键网络资源建立单指标告警，观察一周的触发情况，再逐步合并为复合告警，并对波动性大的指标启用异常检测。告警的最终目的不是“越多越好”，而是让每一次触发都对应一个明确、可执行的响应动作。