Un'azienda esegue un'applicazione su Amazon EKS e la distribuisce tramite Amazon CloudFront. AWS WAF è abilitato e i log di WAF vengono inviati a un gruppo di log di CloudWatch Logs denominato aws-waf-logs. L'azienda desidera ricevere avvisi solo in caso di cambiamenti improvvisi nel traffico bloccato, non per altre variazioni dei log di WAF. Le regole di WAF verranno ottimizzate nel tempo. L'ingegnere DevOps è iscritto a un argomento SNS esistente. Quale soluzione soddisfa questi requisiti?

La soluzione corretta sfrutta il rilevamento delle anomalie di CloudWatch su una metrica personalizzata. Creando un filtro metrico che conta specificamente le richieste bloccate dai log di WAF, si isola il traffico di interesse. Il rilevamento delle anomalie su questa metrica personalizzata permette di identificare cambiamenti improvvisi e inaspettati nel traffico bloccato, che è esattamente ciò che l'azienda desidera monitorare. L'allarme basato sull'anomalia notifica l'argomento SNS solo quando si verifica una deviazione significativa dal comportamento atteso, adattandosi all'ottimizzazione delle regole WAF nel tempo senza richiedere soglie statiche. Le opzioni errate propongono soluzioni meno efficaci. Le opzioni che utilizzano il rilevatore di anomalie di CloudWatch direttamente sui log (senza filtro specifico) o con priorità generiche non si concentrano esclusivamente sulle richieste bloccate. L'opzione che propone una soglia statica per le richieste bloccate non è adatta, poiché le regole WAF verranno ottimizzate, rendendo le soglie statiche obsolete e soggette a falsi positivi o negativi.