Een applicatie in een VPC gebruikt een NAT-gateway voor uitgaande internettoegang. Een netwerkengineer observeert een hoog volume aan verdacht uitgaand verkeer van de VPC naar IP-adressen op een denylist. De engineer moet bepalen welke AWS-resources dat verkeer produceren, terwijl de kosten en administratieve inspanning laag blijven. Welke aanpak voldoet aan deze vereisten?

De juiste aanpak is om VPC Flow Logs in te schakelen en deze naar een Amazon CloudWatch Logs-loggroep te publiceren. CloudWatch Logs Insights biedt een krachtige en kosteneffectieve manier om de flow logs te doorzoeken en te analyseren. Met Insights kunt u snel query's uitvoeren op de loggegevens om de bron-IP-adressen van het verdachte uitgaande verkeer te identificeren, die vervolgens kunnen worden gekoppeld aan specifieke AWS-resources binnen de VPC. Dit is een beheerde service, wat de administratieve inspanning laag houdt. Het starten van een EC2-instance voor Traffic Mirroring voegt extra kosten en complexiteit toe voor het opzetten en beheren van de instance en open-source tools. Het implementeren van een SIEM-oplossing is duur en vereist aanzienlijke administratieve inspanning. Het streamen van verkeer naar Kinesis, Firehose en S3, en vervolgens query's uitvoeren met Athena, is een robuuste oplossing voor grootschalige analyse, maar is complexer en duurder dan nodig voor deze specifieke taak.