Ein Unternehmen betreibt eine Anwendung auf Amazon EKS und verteilt diese über Amazon CloudFront. AWS WAF ist aktiviert und WAF-Protokolle werden an eine CloudWatch Logs-Protokollgruppe namens aws-waf-logs gesendet. Das Unternehmen möchte nur bei plötzlichen Änderungen im blockierten Datenverkehr Benachrichtigungen erhalten, nicht bei anderen WAF-Protokollvariationen. WAF-Regeln werden im Laufe der Zeit angepasst. Der DevOps-Ingenieur ist bei einem bestehenden SNS-Thema angemeldet. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung verwendet einen CloudWatch Logs-Metrikfilter, um die Anzahl der blockierten Anfragen zu extrahieren und als benutzerdefinierte Metrik zu veröffentlichen. Anschließend wird die CloudWatch-Anomalieerkennung auf diese Metrik angewendet. Dies ist ideal, da die Anomalieerkennung dynamisch auf Änderungen im Muster des blockierten Datenverkehrs reagiert, anstatt auf statische Schwellenwerte, die bei sich ändernden WAF-Regeln unpraktisch wären. Ein Alarm, der auf Anomalien reagiert, benachrichtigt dann das SNS-Thema. Die anderen Optionen sind weniger geeignet: Die zweite und vierte Option beziehen sich auf "LogAnomalyPriority" und "LogAnomalyDetector", was sich auf CloudWatch Logs Insights Anomalieerkennung bezieht, die für die Analyse von Log-Mustern und nicht direkt für die Überwachung einer spezifischen Metrik wie blockierte Anfragen gedacht ist. Die dritte Option verwendet einen statischen Schwellenwert. Dieser ist bei sich ändernden WAF-Regeln und variierendem Datenverkehr nicht flexibel genug und würde entweder zu vielen Fehlalarmen oder verpassten wichtigen Ereignissen führen.