한 회사에서 여러 리전의 7개 VPC에 걸쳐 Amazon WorkSpaces를 사용하고 있습니다. 클라우드 SIEM은 WorkSpaces의 DNS 쿼리를 분석하여 접속한 도메인을 식별해야 합니다. SIEM은 로깅 폴링과 푸싱을 모두 지원합니다. 이 요구 사항을 충족하는 가장 비용 효율적인 설계는 무엇입니까?

정답은 Amazon Route 53 쿼리 로깅을 활성화하고 SIEM으로 데이터를 푸시하도록 구성된 Amazon Kinesis Data Firehose 전송 스트림으로 로그를 보냅니다. WorkSpaces의 DNS 쿼리 분석이 핵심 요구 사항이므로 Route 53 쿼리 로깅은 DNS 쿼리 데이터를 직접 캡처하여 SIEM으로 전송하는 가장 효율적이고 비용 효율적인 방법입니다. VPC Flow Logs는 DNS 쿼리 외에 모든 네트워크 흐름을 기록하므로 필요한 것보다 더 많은 데이터를 수집하여 비용이 증가할 수 있습니다. CloudWatch 에이전트는 WorkSpaces 인스턴스에 설치해야 하므로 관리 오버헤드가 발생하고 WorkSpaces 환경에서 에이전트 설치가 항상 지원되지 않을 수 있습니다. VPC Traffic Mirroring은 네트워크 트래픽을 복제하여 분석하는 강력한 도구이지만, DNS 쿼리 분석만을 위해서는 과도하게 복잡하고 비용이 많이 들 수 있습니다. Kinesis Data Firehose는 SIEM으로 데이터를 푸시하는 데 적합한 서비스입니다.