Une équipe de sécurité audite deux applications déployées sur deux clusters EKS qui utilisent Amazon VPC CNI. Les clusters se trouvent dans des sous-réseaux différents du même VPC et utilisent Cluster Autoscaler. L'équipe doit déterminer quelles adresses IP de pod communiquent avec quels services à travers le VPC, mais souhaite limiter le nombre de journaux de flux et ne collecter le trafic que pour les deux applications. Quelle approche répond aux exigences avec le MOINS de surcharge opérationnelle ?

La bonne approche consiste à créer des journaux de flux VPC personnalisés pour les sous-réseaux des applications et à inclure les champs pkt-srcaddr et pkt-dstaddr. Le CNI VPC d'Amazon attribue des adresses IP de pod directement à partir du sous-réseau du VPC. En ciblant les sous-réseaux des applications, vous capturez uniquement le trafic pertinent pour les pods de ces applications, ce qui réduit le volume de journaux. Les champs pkt-srcaddr et pkt-dstaddr sont essentiels car ils enregistrent les adresses IP réelles des pods, contrairement aux champs srcaddr et dstaddr qui enregistrent les adresses IP des interfaces réseau Elastic (ENI) des nœuds, masquant ainsi les adresses IP des pods. Les autres options sont moins efficaces. La collecte de journaux à partir de tous les nœuds EKS (même avec un filtre) inclurait le trafic de pods non pertinents ou d'autres processus sur les nœuds, augmentant la surcharge. L'utilisation du format par défaut ou des champs srcaddr/dstaddr ne fournirait pas les adresses IP des pods nécessaires pour l'audit.