Een bedrijf heeft een native AWS-oplossing nodig om te waarschuwen bij herhaalde mislukte aanmeldingen op zijn bastionhosts: activeer een melding wanneer 5 mislukte authenticatiepogingen plaatsvinden binnen 5 minuten, en stuur de waarschuwing alleen naar de systeembeheerder die verantwoordelijk is voor de betreffende host. Welke aanpak voldoet aan deze vereisten?

De juiste aanpak is om de Amazon CloudWatch-agent te gebruiken om besturingssysteemlogs te verzamelen, inclusief mislukte aanmeldpogingen. Vervolgens creëer je een CloudWatch-alarm met een metrische filter die triggert bij 5 mislukte authenticatiepogingen binnen 5 minuten. Wanneer dit alarm afgaat, publiceert het een bericht naar een Amazon SNS-topic. Het cruciale onderdeel voor gerichte meldingen is SNS-berichtenfiltering, waarmee je berichten kunt routeren naar specifieke abonnees (de verantwoordelijke systeembeheerder) op basis van attributen in het bericht, zoals de host-ID. De eerste optie is onjuist omdat Amazon EventBridge niet de primaire service is voor het creëren van alarmen op basis van metrische filters uit CloudWatch Logs; dit is de functie van CloudWatch Alarms. Bovendien is het gebruik van EC2-instancetags om SNS-topics te bepalen minder flexibel en schaalbaar dan SNS-berichtenfiltering voor gerichte meldingen. De tweede en vierde opties zijn onjuist omdat de AWS Systems Manager Agent (SSM Agent) primair is voor beheer op afstand en niet de standaardmethode voor het verzamelen van besturingssysteemlogs voor CloudWatch-metrieken en alarmen; hiervoor is de CloudWatch Agent ontworpen. Hoewel SSM Run Command kan helpen bij configuratie, is de directe integratie van de CloudWatch Agent met CloudWatch Logs en Alarms de meest efficiënte en native AWS-aanpak.