Een bedrijf draait een applicatie op Amazon EKS en distribueert deze via Amazon CloudFront. AWS WAF is ingeschakeld en WAF-logs worden verzonden naar een CloudWatch Logs loggroep met de naam aws-waf-logs. Het bedrijf wil alleen alerts ontvangen bij plotselinge veranderingen in geblokkeerd verkeer, niet voor andere WAF-logvariaties. WAF-regels zullen na verloop van tijd worden afgestemd. De DevOps-engineer is geabonneerd op een bestaand SNS-topic. Welke oplossing voldoet aan deze vereisten?

De correcte optie voldoet aan de vereiste om alleen te waarschuwen bij plotselinge veranderingen in geblokkeerd verkeer, niet bij andere WAF-logvariaties. Door een metric filter te maken dat specifiek geblokkeerde verzoeken telt en deze als een custom metric te publiceren, isoleer je de relevante gegevens. CloudWatch Anomaly Detection is vervolgens de ideale oplossing, omdat het automatisch een basislijn van normaal gedrag leert en waarschuwt wanneer het huidige gedrag significant afwijkt van die basislijn. Dit is perfect voor situaties waarin WAF-regels in de loop van de tijd worden afgestemd en statische drempels onpraktisch zijn. De andere opties zijn minder geschikt: Het direct toepassen van een CloudWatch anomaly detector op de hele loggroep zou leiden tot waarschuwingen voor allerlei logvariaties, niet alleen voor geblokkeerd verkeer. Het gebruik van een statische drempel voor geblokkeerde verzoeken is niet schaalbaar en vereist constante aanpassing naarmate WAF-regels worden verfijnd, wat in strijd is met de flexibiliteitsvereiste.