Une entreprise utilise AWS Network Firewall pour inspecter le trafic vers et depuis Internet. Elle doit capturer toutes les métadonnées (adresses IP source/destination, protocole) et enregistrer tous les flux de trafic ainsi que toutes les actions DROP ou ALERT prises par le pare-feu. Les points d'extrémité du pare-feu et les tables de routage sont correctement placés afin que le trafic transite par Network Firewall. Comment le pare-feu doit-il être configuré pour répondre à ces exigences de journalisation et de métadonnées ?

La bonne réponse est de créer une politique de pare-feu pour que le moteur avec état traite tout le trafic, puis de configurer la journalisation de Network Firewall pour les journaux d'alertes et les journaux de flux, en sélectionnant une destination pour chacun. AWS Network Firewall utilise le moteur avec état pour capturer les métadonnées de flux complètes (adresses IP source/destination, protocole) et enregistrer toutes les actions DROP ou ALERT. Le moteur sans état ne fournit pas ce niveau de détail de journalisation. Configurer la journalisation directement dans Network Firewall pour les journaux d'alertes et de flux est la méthode correcte pour capturer les informations requises. L'option qui suggère de sélectionner des destinations de journaux séparément pour les moteurs avec état et sans état est incorrecte car le moteur sans état ne fournit pas les journaux de flux détaillés nécessaires. L'utilisation des journaux de flux VPC est insuffisante car ils ne capturent pas les actions spécifiques de Network Firewall (DROP/ALERT) ni toutes les métadonnées requises directement du pare-feu.