Un'azienda ha sostituito un vecchio protocollo a livello di applicazione basato su TCP con un nuovo protocollo basato su TCP che utilizza porte diverse. Dopo aver migrato decine di istanze EC2 e container nel corso di diversi mesi, il team vuole confermare che nessun sistema utilizzi ancora la vecchia porta. La verifica non deve causare tempi di inattività. Quale approccio soddisfa questo requisito?

L'acquisizione dei log di flusso della VPC e l'interrogazione con Amazon Athena è l'approccio migliore perché consente di analizzare il traffico di rete effettivo senza causare tempi di inattività. I log di flusso registrano tutte le connessioni di rete e le porte utilizzate, permettendo di identificare se il vecchio protocollo è ancora in uso. Athena è uno strumento serverless che può interrogare direttamente i log in S3, rendendo l'analisi efficiente e scalabile. Amazon Inspector con il pacchetto Network Reachability valuta la raggiungibilità di rete, ma non conferma l'uso effettivo di una porta da parte di un'applicazione. Amazon GuardDuty è un servizio di rilevamento delle minacce e non è progettato per l'analisi del traffico di rete per scopi di conformità dei protocolli. L'ispezione manuale dei gruppi di sicurezza e la rimozione delle porte causerebbero tempi di inattività e non verificherebbero l'uso effettivo del protocollo, ma solo la configurazione delle regole di firewall.