Un'azienda utilizza Amazon WorkSpaces su sette VPC in diverse Regioni. Il loro SIEM cloud deve analizzare le query DNS dai WorkSpaces per identificare i domini contattati. Il SIEM supporta sia il polling che il push dei log. Qual è il design più conveniente per soddisfare questo requisito?

La registrazione delle query di Route 53 (Route 53 Query Logging) è la soluzione più conveniente perché cattura direttamente le query DNS effettuate dai WorkSpaces, fornendo i dati specifici richiesti dal SIEM. L'invio tramite Kinesis Data Firehose è efficiente e supporta il push dei log al SIEM. Le altre opzioni sono meno adatte: I VPC Flow Logs registrano il traffico IP, non le query DNS specifiche, e richiederebbero un'analisi aggiuntiva per estrarre le informazioni DNS, oltre al polling che potrebbe essere meno efficiente del push. L'installazione di un agente CloudWatch su ogni WorkSpace è complessa da gestire e scalare per centinaia o migliaia di WorkSpaces, oltre a non essere il metodo nativo per catturare le query DNS. Il VPC Traffic Mirroring duplica tutto il traffico di rete, generando un volume di dati molto elevato e costoso, quando sono necessarie solo le query DNS.