Un'azienda deve analizzare il traffico TCP destinato a Internet che ha origine da istanze EC2 in una VPC utilizzando un NAT gateway. Deve raccogliere gli IP di origine e destinazione, le porte e i primi 8 byte del payload TCP, quindi archiviare e analizzare tutti i dati. Quale soluzione soddisfa questi requisiti?

La soluzione corretta è il traffic mirroring perché consente di catturare il traffico di rete, inclusi i primi 8 byte del payload TCP, cosa che i VPC Flow Logs non possono fare. Configurando le istanze EC2 come sorgenti, si cattura il traffico prima che raggiunga il NAT gateway. Il software sul target del traffic mirror può quindi inoltrare questi dati a CloudWatch Logs per l'analisi con CloudWatch Logs Insights. Le opzioni che propongono i VPC Flow Logs sono errate perché i Flow Logs non catturano il payload TCP, ma solo i metadati del traffico (IP di origine/destinazione, porte, protocollo, ecc.). Configurare il NAT gateway come sorgente di traffic mirror non è l'ideale, poiché il traffico in uscita dal NAT gateway ha già l'IP del NAT gateway come sorgente, non l'IP originale dell'istanza EC2.