Een bedrijf draait zijn applicatie op Amazon Elastic Container Service (Amazon ECS) met behulp van het AWS Fargate launch type. Een beveiligingsingenieur vermoedt dat sommige inkomende verzoeken kwaadaardig zijn en moet de draaiende container inspecteren om logbestanden en geheugendumps op te halen met minimale operationele overhead. Welke aanpak voldoet aan deze vereisten?

De juiste aanpak is om de ECS task role AWS Systems Manager-machtigingen te verlenen, ECS Exec in te schakelen voor de ECS-service en ECS Exec te gebruiken om de draaiende container te inspecteren. ECS Exec biedt een veilige en eenvoudige manier om interactief toegang te krijgen tot containers die draaien op Fargate, zonder SSH-sleutels of openbare IP-adressen. Dit maakt het mogelijk om logbestanden en geheugendumps direct vanuit de container op te halen met minimale operationele overhead. Het migreren naar het Amazon EC2 launch type introduceert extra beheer overhead voor de EC2-instances. Het aanpassen van de applicatie om gegevens naar STDOUT te schrijven is nuttig voor logs, maar niet voor geheugendumps en vereist code-aanpassingen. Het inschakelen van CloudWatch Container Insights en het gebruik van AWS Distro for OpenTelemetry is goed voor monitoring en logging, maar biedt geen interactieve toegang tot de container voor het ophalen van geheugendumps.