一家公司在不同区域的七个 VPC 中使用 Amazon WorkSpaces。其云 SIEM 必须分析来自 WorkSpaces 的 DNS 查询，以识别所联系的域。SIEM 支持轮询和推送日志。满足此要求最具成本效益的设计是什么？

正确答案是启用 Amazon Route 53 查询日志记录，并将日志发送到配置为将数据推送到 SIEM 的 Amazon Kinesis Data Firehose 传输流。这是最具成本效益的方法，因为 Route 53 查询日志直接捕获 DNS 查询，正是 SIEM 所需的数据，避免了不必要的流量或数据处理。Kinesis Data Firehose 提供了一种托管、可扩展且经济高效的方式，将日志推送到 SIEM，支持多种目标。 其他选项不理想： VPC Flow Logs 记录所有网络流量的元数据，数据量大且需要额外处理才能提取 DNS 查询，成本较高。 CloudWatch 代理不直接记录 DNS 请求，且手动配置代理和订阅筛选器复杂，成本和管理开销大。 VPC Traffic Mirroring 会复制整个网络流量，产生大量数据和高成本，且需要额外的探测器来解析 DNS 查询，效率低下。