Une entreprise réglementée exige que les ingénieurs DevOps ne se connectent pas aux instances EC2, sauf en cas d'urgence. Si une connexion a lieu, l'équipe de sécurité doit être alertée dans les 15 minutes. Quelle solution répond à cette exigence de manière fiable ?

La solution correcte utilise l'agent CloudWatch pour collecter les journaux de connexion des instances EC2 et les envoyer à CloudWatch Logs. Un filtre de métriques CloudWatch peut ensuite être configuré pour détecter des motifs spécifiques dans ces journaux (comme les événements de connexion utilisateur), et une alarme CloudWatch peut être déclenchée pour envoyer une notification SNS à l'équipe de sécurité. Cette approche est fiable et rapide, car elle traite les journaux en quasi temps réel et utilise des services AWS natifs pour la détection et la notification. Les autres options sont moins fiables ou plus complexes : Amazon Inspector est un service d'évaluation de la vulnérabilité, pas un outil de surveillance des connexions utilisateur en temps réel. L'activation de CloudTrail avec CloudWatch Logs est une bonne pratique, mais l'ajout de Kinesis et d'une fonction Lambda pour l'analyse introduit une latence supplémentaire et une complexité inutile pour ce cas d'utilisation simple de détection de motifs de journaux. Déployer un script pour pousser les journaux vers S3, puis utiliser Athena, est une solution plus lente et plus coûteuse pour l'analyse en temps réel, car Athena est optimisé pour les requêtes ad-hoc sur de grands ensembles de données, pas pour la surveillance continue.