한 회사에서 기존 TCP 기반 애플리케이션 계층 프로토콜을 다른 포트를 사용하는 새로운 TCP 기반 프로토콜로 교체했습니다. 몇 달에 걸쳐 수십 개의 EC2 인스턴스와 컨테이너를 마이그레이션한 후, 팀은 더 이상 기존 포트를 사용하는 시스템이 남아 있지 않은지 확인하려고 합니다. 이 확인 작업은 다운타임을 유발해서는 안 됩니다. 이 요구 사항을 충족하는 접근 방식은 무엇입니까?

정답은 VPC 흐름 로그를 Amazon S3 버킷으로 캡처하고 Amazon Athena를 사용하여 쿼리하는 것입니다. VPC 흐름 로그는 네트워크 트래픽에 대한 상세한 정보를 기록하며, 이를 Athena로 쿼리하여 특정 포트를 사용하는 트래픽을 식별할 수 있습니다. 이는 다운타임 없이 기존 포트 사용 여부를 확인하는 가장 효율적이고 비침습적인 방법입니다. Amazon Inspector는 네트워크 연결 가능성 규칙을 통해 잠재적인 취약점을 찾지만, 특정 포트의 실제 사용 여부를 확인하는 데는 적합하지 않습니다. Amazon GuardDuty는 위협 탐지 서비스이며, 트래픽 필터링 기능이 제한적입니다. 보안 그룹을 수동으로 검사하고 변경하는 것은 다운타임을 유발할 수 있으며, 애플리케이션의 실제 포트 사용 여부를 직접적으로 확인하지 못합니다.