Em uma configuração multi-account, a empresa roteia todo o tráfego de saída através de um Transit Gateway para uma conta de operações de rede. Lá, o tráfego é inspecionado por um firewall appliance antes de chegar ao internet gateway. O firewall escreve logs no CloudWatch Logs e classifica os eventos como CRITICAL, HIGH, MEDIUM, LOW e INFO. A equipe de segurança deve ser alertada sempre que eventos CRITICAL aparecerem. O que o engenheiro de DevOps deve implementar para satisfazer esse requisito?

A opção correta é criar um filtro de métricas do CloudWatch Logs. O firewall já está escrevendo logs no CloudWatch Logs. Um filtro de métricas pode analisar esses logs em tempo real, procurando por padrões específicos (neste caso, "CRITICAL"). Quando o padrão é encontrado, o filtro incrementa uma métrica personalizada. Um alarme do CloudWatch pode então ser configurado para monitorar essa métrica personalizada e, ao atingir um limite, publicar uma notificação em um tópico do SNS, que por sua vez envia um e-mail para a equipe de segurança. As outras opções estão incorretas porque: CloudWatch Synthetics canaries são para monitoramento proativo de endpoints e não para análise de logs de firewall. Amazon GuardDuty é um serviço de detecção de ameaças e não processa logs de firewall para alertas personalizados. AWS Firewall Manager gerencia políticas de firewall, mas não é a ferramenta para criar alertas baseados no conteúdo dos logs de um firewall appliance.