Eine Anwendung in einer VPC verwendet ein NAT-Gateway für den ausgehenden Internetzugriff. Ein Netzwerkingenieur beobachtet ein hohes Volumen an verdächtigem ausgehenden Datenverkehr von der VPC zu IP-Adressen auf einer Deny-Liste. Der Ingenieur muss ermitteln, welche AWS-Ressourcen diesen Datenverkehr erzeugen, und dabei die Kosten und den Verwaltungsaufwand gering halten. Welcher Ansatz erfüllt diese Anforderungen?

Die Aktivierung von VPC Flow Logs und deren Veröffentlichung in CloudWatch Logs, kombiniert mit der Abfrage über CloudWatch Logs Insights, ist der kostengünstigste und verwaltungsärmste Ansatz. Flow Logs erfassen Metadaten über IP-Verkehr und können direkt die Quell-IP-Adressen der Instanzen identifizieren, die den verdächtigen Datenverkehr senden. CloudWatch Logs Insights bietet eine leistungsstarke, serverlose Abfragesprache, um diese Daten effizient zu analysieren, ohne zusätzliche Infrastruktur bereitstellen oder verwalten zu müssen. Traffic Mirroring (Option 1) ist teurer und komplexer, da eine zusätzliche EC2-Instanz für die Analyse bereitgestellt und verwaltet werden muss. Eine SIEM-Lösung (Option 2) ist ebenfalls mit hohen Kosten und erheblichem Verwaltungsaufwand verbunden. Das Streamen zu Kinesis, Firehose und S3 mit Athena (Option 4) ist eine skalierbare Lösung, aber für diese spezifische Anforderung überdimensioniert und teurer als die direkte Nutzung von CloudWatch Logs und Insights.