Une application dans un VPC utilise une passerelle NAT pour l'accès sortant à Internet. Un ingénieur réseau observe un volume élevé de trafic sortant suspect du VPC vers des adresses IP figurant sur une liste de blocage. L'ingénieur doit déterminer quelles ressources AWS produisent ce trafic tout en maintenant les coûts et les efforts d'administration à un niveau bas. Quelle approche répond à ces exigences ?

L'activation des VPC Flow Logs et leur publication vers CloudWatch Logs est la solution la plus rentable et la moins administrative. CloudWatch Logs Insights permet d'interroger facilement et rapidement les journaux de flux pour identifier les adresses IP sources et les ressources AWS associées au trafic suspect, sans nécessiter de déploiement d'infrastructure supplémentaire. Lancer une instance EC2 pour le Traffic Mirroring est plus complexe et coûteux, nécessitant la gestion de l'instance et des outils d'analyse. Déployer une solution SIEM est une approche plus lourde et coûteuse, adaptée aux besoins de sécurité plus larges mais excessive pour ce cas spécifique. Diffuser le trafic vers Kinesis, Firehose et S3, puis interroger avec Athena, est une solution robuste mais surdimensionnée et plus coûteuse en termes de gestion et de services pour la simple identification de la source du trafic.