Una empresa utiliza Amazon WorkSpaces en siete VPCs en diferentes Regiones. Su SIEM en la nube debe analizar las consultas DNS de los WorkSpaces para identificar los dominios contactados. El SIEM admite tanto el sondeo como el envío de registros. ¿Cuál es el diseño más rentable para cumplir este requisito?

La opción correcta es habilitar el registro de consultas de Amazon Route 53 y enviarlas a un stream de Kinesis Data Firehose. Route 53 Resolver registra todas las consultas DNS originadas desde los WorkSpaces, proporcionando los dominios contactados de forma directa y eficiente. Kinesis Data Firehose es un servicio gestionado que puede entregar estos registros de forma continua al SIEM, ya sea por envío o por sondeo, según la configuración. Las otras opciones son menos eficientes o más costosas: VPC Flow Logs registran el tráfico IP, no las consultas DNS específicas, lo que requeriría un análisis más complejo y costoso para extraer la información deseada. Instalar agentes de CloudWatch en cada WorkSpace es inviable y costoso para una flota grande, además de que los WorkSpaces no son instancias EC2 gestionadas por el cliente de la misma manera. VPC Traffic Mirroring es una solución de red de bajo nivel que duplicaría todo el tráfico, no solo las consultas DNS, generando un volumen de datos mucho mayor y más costoso de procesar para el SIEM.