Une entreprise exécute une application web sur Apache HTTP Server sur des instances Amazon EC2 au sein d'un groupe Auto Scaling. Les instances envoient les journaux d'accès Apache à un groupe de journaux Amazon CloudWatch Logs configuré pour conserver les journaux pendant 1 an. L'entreprise a découvert qu'une adresse IP spécifique effectuait des requêtes suspectes. Un ingénieur de sécurité doit analyser les journaux de la semaine passée pour déterminer le nombre de requêtes effectuées à partir de cette adresse IP et les URL demandées, avec le moins d'effort possible. Que doit faire l'ingénieur ?

La solution la plus efficace et avec le moins d'effort est d'utiliser CloudWatch Logs Insights. Il permet d'interroger les journaux directement dans CloudWatch Logs avec une syntaxe de requête puissante, sans avoir à exporter les données. L'ingénieur peut facilement filtrer par adresse IP et extraire les URL demandées pour la période spécifiée. Les autres options sont moins optimales : Exporter vers S3 et utiliser Macie est une approche indirecte et plus coûteuse en temps et en ressources pour une simple analyse de requêtes. Macie est plus adapté à la découverte de données sensibles. Créer un abonnement vers OpenSearch Service est une excellente solution pour une analyse continue et en temps réel, mais pour une analyse ponctuelle sur des données passées, c'est un effort de configuration initial inutilement élevé. Exporter vers S3 et utiliser AWS Glue pour explorer est également une approche indirecte et plus complexe que Logs Insights pour cette tâche spécifique. Glue est plus adapté à l'ETL et à la préparation de données pour des analyses plus complexes.