Un'applicazione in una VPC utilizza un NAT gateway per l'accesso a Internet in uscita. Un ingegnere di rete osserva un elevato volume di traffico in uscita sospetto dalla VPC verso indirizzi IP presenti in una deny list. L'ingegnere deve determinare quali risorse AWS stanno producendo tale traffico mantenendo bassi i costi e lo sforzo amministrativo. Quale approccio soddisfa questi requisiti?

L'abilitazione dei VPC Flow Logs e la pubblicazione su CloudWatch Logs consentono di acquisire i metadati del traffico IP che attraversa le interfacce di rete. CloudWatch Logs Insights è uno strumento integrato e conveniente per interrogare questi log e identificare rapidamente le risorse (come le interfacce di rete e le istanze EC2 associate) che generano il traffico sospetto. Questo approccio è efficiente in termini di costi e sforzo amministrativo. Le altre opzioni sono meno adatte: Il Traffic Mirroring su un'istanza EC2 è costoso, richiede la gestione di un'istanza e strumenti aggiuntivi, e non è scalabile per l'analisi a lungo termine. Una soluzione SIEM comporta costi elevati per la licenza, la distribuzione e la gestione, oltre a un maggiore sforzo amministrativo. L'utilizzo di Kinesis, Kinesis Data Firehose, S3 e Athena è una soluzione robusta per l'analisi su larga scala, ma introduce maggiore complessità e costi rispetto a CloudWatch Logs Insights per questo specifico caso d'uso di identificazione rapida.