한 회사에서 인터넷 송수신 트래픽을 검사하기 위해 AWS Network Firewall을 사용합니다. 이 회사는 전체 메타데이터(원본/대상 IP, 프로토콜)를 캡처하고 모든 트래픽 흐름 및 방화벽에서 수행한 모든 DROP 또는 ALERT 작업을 기록해야 합니다. 방화벽 엔드포인트와 라우팅 테이블은 트래픽이 Network Firewall을 통해 흐르도록 올바르게 배치되었습니다. 이러한 로깅 및 메타데이터 요구 사항을 충족하도록 방화벽을 어떻게 구성해야 합니까?

정답은 모든 트래픽 흐름과 DROP 또는 ALERT 작업을 기록해야 하는 요구 사항을 충족하기 때문입니다. AWS Network Firewall의 스테이트풀 엔진은 모든 트래픽 흐름을 검사하고, 경고 로그는 DROP 또는 ALERT 작업을 기록하며, 흐름 로그는 전체 메타데이터(원본/대상 IP, 프로토콜)를 포함한 모든 트래픽 흐름을 캡처합니다. 이러한 로그를 구성하면 필요한 모든 정보를 얻을 수 있습니다. 다른 옵션들은 다음 이유로 올바르지 않습니다. 첫 번째 옵션은 CloudWatch Logs를 흐름 로그 대상으로 선택하지만, 경고 로그에 대한 언급이 없어 DROP/ALERT 작업 기록 요구 사항을 충족하지 못합니다. 두 번째 옵션은 스테이트풀 및 스테이트리스 엔진에 대해 별도로 로그 대상을 선택하도록 제안하지만, 모든 트래픽 흐름을 기록하려면 스테이트풀 엔진만으로 충분하며, 경고 로그와 흐름 로그를 명시적으로 구성해야 합니다. 네 번째 옵션은 VPC 흐름 로그를 사용하도록 제안하지만, VPC 흐름 로그는 Network Firewall 자체의 DROP/ALERT 작업을 기록하지 않으므로 요구 사항을 충족하지 못합니다.