Um bucket com volume anômalo de leituras numa tarde de quarta-feira. Um usuário IAM criado às 2h47 de um sábado. Um site que começa a retornar erros 5xx antes de ter o tráfego triplicado. Três cenários reais, a mesma infraestrutura de resposta: Monitoring, Events e Notifications conectados. O que muda em cada caso é o sinal, a fonte, e o que fazer nos primeiros minutos depois que o alerta chega.