Un'azienda deve controllare e registrare tutto il traffico Internet in uscita originato in sottoreti private in più Regioni e VPC connessi tramite Transit Gateway. L'azienda prevede di utilizzare AWS Network Firewall e necessita di una registrazione completa di tutto il traffico per l'audit e l'alerting. Come dovrebbe essere configurata la registrazione di Network Firewall per garantire la cattura completa di avvisi e flussi?

L'opzione corretta è abilitare la registrazione integrata di Network Firewall perché è l'unico metodo che cattura sia gli eventi di avviso (alert) che i log di flusso (flow logs) direttamente dal firewall. Questo è essenziale per un controllo completo e per soddisfare i requisiti di audit e alerting. Le altre opzioni sono meno adatte: Abilitare la registrazione su Amazon CloudWatch per i soli avvisi non cattura i log di flusso, che sono necessari per una visibilità completa del traffico. Abilitare i VPC Flow Logs sull'endpoint del firewall non fornisce la stessa granularità e il contesto degli eventi di avviso generati dal Network Firewall stesso. I VPC Flow Logs registrano il traffico a livello di interfaccia di rete, non le decisioni specifiche del firewall. Abilitare gli eventi di dati di AWS CloudTrail registra le chiamate API effettuate al servizio Network Firewall, non il traffico di rete che lo attraversa o gli avvisi generati dal firewall.