Uma empresa usa o AWS Network Firewall para inspecionar o tráfego de e para a internet. Eles precisam capturar metadados completos (IPs de origem/destino, protocolo) e registrar todos os fluxos de tráfego e quaisquer ações DROP ou ALERT tomadas pelo firewall. Os endpoints do firewall e as tabelas de rotas estão corretamente posicionados para que o tráfego flua através do Network Firewall. Como o firewall deve ser configurado para atender a esses requisitos de log e metadados?

A opção correta aborda todos os requisitos. Para capturar metadados completos e registrar todas as ações de DROP ou ALERT, é essencial configurar o AWS Network Firewall para logs de alerta (alert logs) e logs de fluxo (flow logs). O mecanismo stateful é necessário para inspecionar o tráfego de forma contínua e manter o contexto da conexão, o que é fundamental para a captura completa de metadados e para a detecção de ações de DROP/ALERT. A seleção de um destino para ambos os tipos de logs garante que os dados sejam armazenados e acessíveis. As outras opções são incorretas porque: A primeira opção não especifica a configuração de logs de alerta, que são cruciais para registrar as ações de DROP/ALERT. A segunda opção sugere a seleção de destinos de log separados para mecanismos stateful e stateless, o que não é necessário e pode complicar a configuração. Além disso, o requisito de "todo o tráfego" implica um mecanismo stateful. A quarta opção sugere o uso de logs de fluxo da VPC, que fornecem informações de fluxo de rede, mas não capturam as ações específicas de DROP/ALERT do Network Firewall.