In einem Multi-Account-Setup leitet das Unternehmen den gesamten ausgehenden Datenverkehr über ein Transit Gateway in ein Netzwerkbetriebskonto. Dort wird der Datenverkehr von einer Firewall-Appliance überprüft, bevor er das Internet-Gateway erreicht. Die Firewall schreibt Protokolle in CloudWatch Logs und klassifiziert Ereignisse als CRITICAL, HIGH, MEDIUM, LOW und INFO. Das Sicherheitsteam muss benachrichtigt werden, sobald CRITICAL-Ereignisse auftreten. Was sollte der DevOps-Ingenieur implementieren, um diese Anforderung zu erfüllen?

Die Firewall schreibt Protokolle in CloudWatch Logs, und das Sicherheitsteam muss bei CRITICAL-Ereignissen benachrichtigt werden. Der effektivste Weg, dies zu erreichen, ist die Verwendung eines CloudWatch Logs Metrikfilters. Dieser Filter kann speziell nach dem String "CRITICAL" in den Protokollen suchen und eine benutzerdefinierte Metrik erstellen, die die Anzahl dieser Ereignisse verfolgt. Anschließend kann ein CloudWatch-Alarm auf dieser Metrik konfiguriert werden, der ausgelöst wird, sobald ein CRITICAL-Ereignis auftritt. Dieser Alarm kann dann eine Benachrichtigung an ein SNS-Thema senden, dem die E-Mail-Adresse des Sicherheitsteams abonniert ist. Die anderen Optionen sind weniger geeignet: CloudWatch Synthetics Canaries sind für die Überwachung der Verfügbarkeit und Leistung von Endpunkten gedacht, nicht für die Analyse von Firewall-Protokollen. Amazon GuardDuty ist ein Bedrohungserkennungsdienst, der keine direkten Benachrichtigungen basierend auf benutzerdefinierten Firewall-Protokolleinträgen generiert. AWS Firewall Manager dient der zentralen Verwaltung von Firewall-Regeln über mehrere Konten hinweg, nicht der Echtzeit-Analyse von Protokollereignissen für benutzerdefinierte Benachrichtigungen.