Un analista della sicurezza sta risolvendo problemi relativi ad avvisi per modifiche sospette ai gruppi di sicurezza. Il team ha dichiarato che un allarme Amazon CloudWatch monitora gli eventi AWS CloudTrail corrispondenti. L'analista ha eseguito un test modificando un gruppo di sicurezza, ma non ha ricevuto alcun avviso. Quale passaggio di risoluzione dei problemi dovrebbe intraprendere l'analista?

L'opzione corretta è verificare la configurazione del filtro di metriche e dell'allarme CloudWatch. Gli avvisi per modifiche ai gruppi di sicurezza si basano su eventi CloudTrail che vengono inviati a CloudWatch Logs. Un filtro di metriche estrae informazioni specifiche da questi log, creando una metrica che può poi attivare un allarme CloudWatch. Se l'allarme non è stato ricevuto, è fondamentale assicurarsi che il filtro di metriche sia configurato correttamente per catturare gli eventi di modifica del gruppo di sicurezza, che sia associato a un allarme e che l'allarme abbia un'azione di notifica (ad esempio, invio a un argomento SNS) configurata e funzionante. Le altre opzioni sono meno pertinenti: Abilitare CloudTrail e la registrazione degli accessi al server S3 è una buona pratica, ma l'allarme si basa sulla ricezione degli eventi CloudTrail in CloudWatch Logs, non sulla registrazione degli accessi a S3. Le dashboard di CloudWatch mostrano i dati delle metriche esistenti, ma non risolvono il problema se la metrica non viene generata o l'allarme non è configurato. Le autorizzazioni IAM dell'analista sono necessarie per visualizzare le metriche e gli allarmi, ma non influenzano la generazione dell'allarme stesso.