Ein Unternehmen betreibt seine Anwendung auf Amazon Elastic Container Service (Amazon ECS) unter Verwendung des AWS Fargate-Starttyps. Ein Sicherheitsingenieur vermutet, dass einige eingehende Anfragen bösartig sind, und muss den laufenden Container inspizieren, um Protokolldateien und Speicherauszüge mit minimalem Betriebsaufwand abzurufen. Welcher Ansatz erfüllt diese Anforderungen?

Die korrekte Antwort ist, der ECS-Task-Rolle AWS Systems Manager-Berechtigungen zu erteilen, ECS Exec für den ECS-Service zu aktivieren und ECS Exec zu verwenden, um den laufenden Container zu inspizieren. ECS Exec ermöglicht es Ihnen, Befehle in einem laufenden Container auszuführen, was die direkte Inspektion von Protokolldateien und die Erstellung von Speicherauszügen mit minimalem Betriebsaufwand ermöglicht, ohne die Anwendung zu migrieren oder zu ändern. Die Migration der Anwendung zu EC2 und die Konfiguration des Fernzugriffs würde einen erheblichen Betriebsaufwand bedeuten und die Vorteile von Fargate aufheben. Das Ändern der Anwendung, um Daten nach STDOUT zu schreiben, ist eine gute Praxis für die Protokollierung, löst aber nicht das Problem der Inspektion von Speicherauszügen oder komplexeren Laufzeitdaten. Das Aktivieren von CloudWatch Container Insights und die Verwendung von AWS Distro for OpenTelemetry sind nützlich für die Überwachung und Protokollierung, ermöglichen aber keine direkte Interaktion mit dem Container zur Laufzeitinspektion.