Een bedrijf gebruikt AWS Network Firewall om verkeer van en naar het internet te inspecteren. Ze moeten volledige metadata (bron-/bestemmings-IP's, protocol) vastleggen en alle verkeersstromen en eventuele DROP- of ALERT-acties die door de firewall zijn ondernomen, registreren. De firewall-endpoints en routetabellen zijn correct geplaatst, zodat verkeer via Network Firewall stroomt. Hoe moet de firewall worden geconfigureerd om aan deze logboek- en metadatavereisten te voldoen?

De correcte optie is om een firewallbeleid te maken dat een stateful engine al het verkeer laat verwerken en vervolgens Network Firewall logging te configureren voor zowel alert logs als flow logs, met aparte bestemmingen voor elk. De stateful engine is essentieel omdat deze de volledige metadata van verkeersstromen kan vastleggen en alle DROP- of ALERT-acties kan registreren, wat voldoet aan de vereisten. Het configureren van zowel alert als flow logs zorgt ervoor dat alle benodigde informatie wordt vastgelegd. De eerste optie is onjuist omdat alleen flow logs via CloudWatch Logs niet voldoende zijn om alle metadata en alert-acties vast te leggen. De tweede optie is onjuist omdat het afzonderlijk selecteren van bestemmingen voor stateful en stateless engines onnodig complex is en niet de meest directe manier om aan de vereisten te voldoen als een stateful engine al het verkeer verwerkt. De vierde optie is onjuist omdat VPC flow logs niet de gedetailleerde informatie over DROP- of ALERT-acties van de Network Firewall zelf vastleggen; Network Firewall logging is hiervoor specifiek ontworpen.