Un ambiente ibrido ha istanze EC2 in una VPC che inviano log delle applicazioni a CloudWatch e leggono dati da database relazionali on-premise. L'azienda necessita di visibilità quasi in tempo reale su quali istanze EC2 sono connesse ai database e utilizza già Splunk on-premise per il monitoraggio. Come dovrebbe un architetto di soluzioni inoltrare il traffico di log di rete necessario a Splunk per soddisfare questi requisiti?

L'opzione corretta abilita i VPC Flow Logs per catturare il traffico di rete, inviandoli a CloudWatch Logs. Una sottoscrizione di CloudWatch Logs inoltra questi eventi a Kinesis Data Firehose, che supporta Splunk come destinazione diretta. L'uso di una funzione Lambda di pre-elaborazione con Firehose è cruciale per estrarre i singoli eventi di log, garantendo che Splunk riceva dati formattati correttamente per l'analisi quasi in tempo reale. Le altre opzioni sono meno efficienti o non soddisfano i requisiti: Esportare periodicamente log su S3 e poi recuperarli con Splunk introduce latenza e complessità, non fornendo visibilità quasi in tempo reale. Registrare ogni richiesta al database e usare Athena è un processo troppo macchinoso e non si concentra sul traffico di rete, che è l'obiettivo principale per monitorare le connessioni. Usare Kinesis Data Analytics per l'analisi delle anomalie è utile ma non è il metodo più diretto per inoltrare semplicemente i log di rete a Splunk per la visibilità richiesta.