AWS CLI를 사용하여 CloudWatch 의 이상 탐지(Anomaly Detection) 생성하기

안녕하세요, 임채정입니다.
이번 블로그에서는 AWS CLI를 사용하여 CloudWatch Alarm 의 이상 탐지(Anomaly Detection) 를 생성하는 방법을 설명합니다.

CloudWatch Alarm 의 이상 탐지(Anomaly Detection) 는 과거 데이터의 패턴을 분석하여 비정상적인 패턴을 감지하는 기능입니다.
만약 자세한 내용을 알고 싶다면 아래 블로그를 참고해주세요.
https://dev.classmethod.jp/articles/korean-blog-relay-lim-cloudwatch-alarm-Anomaly-detection/

1. 사전 준비

AWS CLI를 통해 이상 탐지 알람을 생성하기 전에 다음과 같은 사전 준비가 필요합니다.

• AWS CLI가 설치되어 있어야 합니다.
• CLI를 실행하는 IAM에 적절한 권한이 할당되어 있어야 합니다.
• 이상 탐지을 생성할 대상 리소스가 있어야 합니다.

1.1. AWS CLI 설치

AWS CLI는 AWS 서비스를 관리하기 위한 명령형 인터페이스입니다.
AWS CLI를 설치하는 방법은 아래 링크를 참고해주세요.
https://docs.aws.amazon.com/ko_kr/cli/latest/userguide/getting-started-install.html

1.2. IAM 권한 설정

AWS CLI를 실행하는 IAM 유저에게는 CloudWatch 를 실행할 권한이 필요합니다.
물론 CloudWatch에 대한 모든 권한을 가진 AWS 관리형 IAM 정책인 CloudWatchFullAccess을 부여해도 되지만 권한은 필요한 범위만 할당하는 게 보안상 좋습니다.

다음은 이상 탐지(Anomaly Detector) 생성하고 조회, 삭제 작업을 위해 필요한 권한입니다.

• cloudwatch:PutAnomalyDetector : 이상 탐지기를 생성/수정
• cloudwatch:DeleteAnomalyDetector : 이상 탐지기를 삭제
• cloudwatch:DescribeAnomalyDetectors : 이상 탐지기 정보를 조회

혹은 선택적으로 지표 조회, 태그 관리 등 부가적으로 필요할 수 있습니다. (이번 블로그에서는 사용하지 않습니다.)

• 지표 조회하고 싶을 때
  • cloudwatch:ListMetrics : 사용 가능한 지표 목록을 조회
  • cloudwatch:DescribeMetrics : 지표의 상세 정보(네임스페이스, 차원, 통계 등)를 조회
• 태그 관리를 하고 싶을 때
  • cloudwatch:ListTagsForResource : 리소스(알람, 대시보드 등)의 태그를 조회
  • cloudwatch:TagResource : 리소스에 태그를 추가
  • cloudwatch:UntagResource : 리소스에서 태그를 제거

1.3. 대상 리소스 준비

이번 블로그에서는 EC2 인스턴스의 지표 중에 하나를 사용해서 이상 탐지 알람을 생성해보겠습니다.
EC2 인스턴스의 스팩은 아래와 같습니다.

• 이름 : Anomaly-detection-test
• OS : Windows_Server 2025
• 인스턴스타입 : t3.micro

2. 이상 탐지(Anomaly Detector) 생성하기

이상 탐지 생성을 위한 CLI 명령어에 대해서 먼저 알아보겠습니다.

주의해야할 건 이상 탐지(Anomaly Detector)와 이상 탐지 알람(Anomaly Detection alarm)은 다릅니다.
이상 탐지는 지표 데이터의 정상 패턴을 학습하여, 비정상적인 값을 자동으로 감지하는 모델을 만드는 것 으로, 알람을 생성하고 싶다면 따로 생성을 해줘야 합니다.
만약 이상 탐지 알람을 생성하고 싶다면 아래 블로그를 참고해주세요.
https://dev.classmethod.jp/articles/lim-cloudwatch-anomaly-detection-alarm-cli/

이상 탐지(Anomaly Detector)를 별도로 만드는 이유를 쉽게 정리하면 다음과 같습니다.

• 이상 탐지기를 먼저 만들어두면, 실제로 알람을 생성하기 전에 임계값 설정이 제대로 되었는지 미리 확인할 수 있습니다. 즉, 정상과 비정상 패턴을 미리 검증하는 데 도움이 됩니다.
• 이상 탐지 결과를 단순히 모니터링 용도로만 쓰고 싶을 때도 있습니다. 꼭 알람을 생성하지 않아도, 이상 징후가 발생했는지 대시보드 등에서 추적할 수 있습니다.

즉, 이상 탐지기는 알람 작성을 위한 기초 데이터가 되기도 하고, 알람 없이 이상 여부만 관찰하고 싶을 때도 유용하게 활용될 수 있습니다.

2.1. 이상 탐지 생성

이상 탐지 알람을 생성하기 위해서는 다음과 같은 명령어를 사용합니다.

aws cloudwatch put-anomaly-detector \
  --namespace [네임스페이스의 지정] \
  --metric-name [지표 지정] \
  --stat [통계값] \
  --dimensions Name=[차원 이름],Value=[차원 값]

--single-metric-anomaly-detector Namespace="AWS/EC2",MetricName="NetworkPacketsIn",Stat="Average"

--metric-math-anomaly-detector MetricMathAnomalyDetector={...}

2.2. 명령어 실행

이번에 사용할 지표는 EC2 인스턴스의 NetworkPacketsIn 입니다.
NetworkPacketsIn는 모든 네트워크 인터페이스에서 인스턴스가 수신한 패킷 수로, 단일 인스턴스의 패킷 수를 기준으로 들어오는 트래픽의 양을 식별합니다.
선택 기준은 따로 없고 테스트를 위해 임의로 선택했습니다.

aws cloudwatch put-anomaly-detector \
  --namespace AWS/EC2 \
  --metric-name NetworkPacketsIn \
  --stat Average \
  --dimensions Name=InstanceId,Value=i-xxxxxxxxxxxxxxxxx

3. 결과 확인

그럼 제대로 생성되었는지 확인해보겠습니다.

aws cloudwatch describe-anomaly-detectors
# {
#     "AnomalyDetectors": [
#         {
#             "Namespace": "AWS/EC2",
#             "MetricName": "NetworkPacketsIn",
#             "Dimensions": [
#               ... 생략 ...
#                     }
#                 ],
#                 "Stat": "Average"
#             }
#         }
#     ]
# }

하지만 이렇게 실행하면 모든 이상 탐지가 출력되기 때문에
만약 좀 더 특정 이상 탐지에 대해서만 확인하고 싶다면 아래와 같이 옵션을 지정해주면 됩니다.

aws cloudwatch describe-anomaly-detectors \
  --namespace AWS/EC2 \
  --metric-name NetworkPacketsIn \
# {
#     "AnomalyDetectors": [
#         {
#             "Namespace": "AWS/EC2",
#             "MetricName": "NetworkPacketsIn",
#             "Dimensions": [
#                 {
#                     "Name": "InstanceId",
#                     "Value": "i-xxxxxxxxxxxxxxxxx"
#                 }
#             ],
#             "Stat": "Average",
#             "Configuration": {
#                 "ExcludedTimeRanges": []
#             },
#             "StateValue": "TRAINED",
#             "SingleMetricAnomalyDetector": {
#                 "Namespace": "AWS/EC2",
#                 "MetricName": "NetworkPacketsIn",
#                 "Dimensions": [
#                     {
#                         "Name": "InstanceId",
#                         "Value": "i-xxxxxxxxxxxxxxxxx"
#                     }
#                 ],
#                 "Stat": "Average"
#             }
#         }
#     ]
# }

describe-anomaly-detectors 의 다양한 옵션은 아래 토글 페이지를 참고해주세요

콘솔 페이지에서도 확인해보겠습니다.
명령어를 실행시키기 전에는 지표는 아래와 같습니다.

이상 탐지를 생성하고 다시 확인해보면 아래 사진과 같이 회색으로 정상범위가 출력되는 걸 확인할 수 있습니다.
(이 때, 콘솔 화면에 이상 탐지가 출력되기까지는 다소 시간이 걸립니다.)

또한, 지표 이름 옆에 Average 통계에 대한 이상 탐지 모델이 활성화되었다고 출력됩니다.

4. 이상 탐지 삭제

마지막으로 이상 탐지를 삭제해보겠습니다.
삭제할 때 지정하는 파라미터는 생성할 때 사용한 설정값을 입력하면 됩니다.
만약 기억이 나지 않으면 [2.3. 결과 확인] 에서 조회한 이상 탐지 상세 설정의 값의 출력을 참고해서 입력해주면 됩니다.

aws cloudwatch delete-anomaly-detector \
  --namespace AWS/EC2 \
  --metric-name NetworkPacketsIn \
  --stat Average \
  --dimensions Name=InstanceId,Value=i-xxxxxxxxxxxxxxxxx

--single-metric-anomaly-detector Namespace="AWS/EC2",MetricName="NetworkPacketsIn",Stat="Average"

--metric-math-anomaly-detector MetricMathAnomalyDetector={...}

콘솔 화면에서 확인해봐도 이상 탐지가 사라졌고, 지표명 옆에 있던 이상 탐지 활성화 표시도 사라져있습니다.

지금까지 이상 탐지에 대한 AWS CLI 명령어에 대해 알아봤습니다.

5. 마무리

이상으로 AWS CLI 명령어를 통해 CloudWatch 이상 탐지의 생성, 조회, 삭제 명령어를 실행해봤습니다.

참고 자료
https://docs.aws.amazon.com/ko_kr/AmazonCloudWatch/latest/monitoring/CloudWatch_Anomaly_Detection.html

문의 사항은 클래스메소드코리아로!

클래스메소드코리아에서는 다양한 세미나 및 이벤트를 진행하고 있습니다.
진행중인 이벤트는 아래 페이지를 참고해주세요.

https://classmethod.kr/board/library

AWS에 대한 상담 및 클래스메소드코리아 멤버스에 관한 문의사항은 아래 메일로 연락주시면 감사드립니다!
Info@classmethod.kr