CortexRetailのインシデント対応チームは、SSHブルートフォース攻撃の可能性を調査しています。3つのVPCからのVPCフローログは、個別のCloudWatch Logsロググループに配信されます。チームは、過去15分間にすべてのVPCで、宛先ポート22へのREJECTされたトラフィックを持つ上位10個の送信元IPアドレスのランク付けされたリストを数分以内に必要としています。彼らは何をすべきですか？

CloudWatch Logs Insightsは、複数のロググループを横断してクエリを実行できるため、このシナリオに最適です。提供されたクエリは、拒否されたポート22へのトラフィックをフィルタリングし、送信元IPアドレスごとに集計し、上位10件を迅速に特定します。これにより、インシデント対応チームは数分以内に必要な情報を得られます。メトリックフィルターとアラームはリアルタイム監視には役立ちますが、過去のデータを集計して上位の攻撃者を特定するのには適していません。S3へのエクスポートとAthenaの使用は、データ量が多い場合に有効ですが、数分以内という要件には時間がかかりすぎます。CloudTrail LakeはCloudTrailイベント用であり、VPCフローログのクエリには使用できません。