Una empresa ha reemplazado un antiguo protocolo de capa de aplicación basado en TCP por un nuevo protocolo basado en TCP que utiliza diferentes puertos. Después de migrar docenas de instancias EC2 y contenedores durante varios meses, el equipo quiere confirmar que no quedan sistemas que aún utilicen el puerto antiguo. La verificación no debe causar tiempo de inactividad. ¿Qué enfoque cumple con este requisito?

La captura de VPC Flow Logs en un bucket de S3 y su consulta con Amazon Athena es el enfoque más adecuado porque permite monitorear el tráfico de red sin causar interrupciones. Los Flow Logs registran metadatos sobre el tráfico IP que entra y sale de las interfaces de red, incluyendo puertos de origen y destino. Al filtrar estos logs por el puerto antiguo, se pueden identificar las instancias que aún lo utilizan. Ejecutar Amazon Inspector es útil para la seguridad, pero su paquete de Network Reachability se centra en la accesibilidad de red, no en el uso activo de puertos específicos por aplicaciones. Amazon GuardDuty es una herramienta de detección de amenazas y no está diseñada para el monitoreo de uso de puertos de aplicaciones específicas. La inspección manual de los Security Groups es ineficiente y eliminar puertos podría causar tiempo de inactividad, lo cual va en contra del requisito.