Une entreprise exécute une application sur Amazon EKS et la distribue via Amazon CloudFront. AWS WAF est activé et les journaux WAF sont envoyés à un groupe de journaux CloudWatch Logs nommé aws-waf-logs. L'entreprise souhaite recevoir des alertes uniquement en cas de changements soudains dans le trafic bloqué, et non pour d'autres variations de journaux WAF. Les règles WAF seront ajustées au fil du temps. L'ingénieur DevOps est abonné à une rubrique SNS existante. Quelle solution répond à ces exigences ?

La solution correcte répond aux exigences en utilisant la détection d'anomalies pour identifier les changements soudains dans le trafic bloqué, ce qui est plus efficace que des seuils statiques lorsque les règles WAF évoluent. Un filtre de métriques CloudWatch Logs extrait le nombre de requêtes bloquées des journaux WAF et le publie en tant que métrique personnalisée. La détection d'anomalies CloudWatch apprend le comportement normal de cette métrique et déclenche une alarme SNS uniquement lorsque le trafic bloqué s'écarte significativement de la normale. Les options incorrectes sont moins adaptées : Les options utilisant un détecteur d'anomalies CloudWatch directement sur le groupe de journaux (sans filtre de métriques spécifique) sont trop génériques et ne ciblent pas spécifiquement les requêtes bloquées. Elles pourraient générer des alertes pour d'autres types de variations de journaux WAF. L'option utilisant un seuil statique pour le total des requêtes bloquées est inefficace car les règles WAF sont ajustées, ce qui signifie que le seuil "acceptable" peut changer, rendant l'alarme obsolète ou bruyante.