Uma empresa tem um conjunto de instâncias Amazon EC2 em uma única sub-rede privada de uma VPC sem um internet gateway. O agente Amazon CloudWatch está instalado em todas as instâncias para coletar logs de uma aplicação específica. Para manter o tráfego de log privado, a equipe de rede criou VPC endpoints para CloudWatch (monitoring) e CloudWatch Logs e os anexou à VPC. A aplicação está gerando logs, mas eles não estão aparecendo no CloudWatch. Qual combinação de passos o engenheiro de segurança deve tomar para solucionar este problema? (Escolha três.)

A permissão do perfil da instância EC2 é crucial, pois o agente CloudWatch precisa de logs:CreateLogStream e logs:PutLogEvents para enviar logs. Sem essas permissões, os logs não serão enviados ao CloudWatch. A revisão do arquivo de configuração do agente CloudWatch é fundamental para garantir que o agente esteja configurado para monitorar os caminhos de log corretos e que o formato de log seja compatível. As políticas do VPC endpoint devem ser verificadas para confirmar que as instâncias EC2 têm permissão para usar os endpoints do CloudWatch e CloudWatch Logs, garantindo que o tráfego privado seja autorizado. Criar um filtro de métricas é para análise de logs, não para a coleta inicial. Um NAT Gateway não é necessário, pois os VPC endpoints já fornecem conectividade privada. Os security groups não precisam permitir a comunicação entre instâncias EC2 para agregação de logs, pois o agente envia logs diretamente para o CloudWatch.