Una aplicación en una VPC utiliza un NAT gateway para el acceso saliente a internet. Un ingeniero de redes observa un alto volumen de tráfico saliente sospechoso desde la VPC hacia direcciones IP en una lista de denegación. El ingeniero necesita determinar qué recursos de AWS están produciendo ese tráfico, manteniendo bajos los costos y el esfuerzo administrativo. ¿Qué enfoque satisface estos requisitos?

La opción correcta es la más eficiente y rentable. Habilitar VPC Flow Logs y publicarlos en CloudWatch Logs permite registrar metadatos del tráfico de red, incluyendo las IP de origen y destino. CloudWatch Logs Insights es una herramienta integrada y sin servidor que permite consultar estos registros de manera interactiva y rápida, identificando los recursos (mediante sus interfaces de red) que generan el tráfico sospechoso. Esto minimiza los costos operativos y el esfuerzo administrativo. Las otras opciones son menos óptimas: Traffic Mirroring requiere una instancia EC2 dedicada para el análisis, lo que aumenta los costos y la complejidad. Además, el NAT gateway no puede ser directamente un origen para Traffic Mirroring; se necesitaría un Network Load Balancer o una interfaz de red específica. Una solución SIEM es costosa y requiere una implementación y gestión significativas. La transmisión a Kinesis, Kinesis Data Firehose y S3, con consultas en Athena, es una solución robusta para volúmenes muy grandes de datos, pero es más compleja y costosa para esta necesidad específica, introduciendo latencia y mayor esfuerzo de configuración.