Een bedrijf heeft een oud TCP-gebaseerd applicatielaagprotocol vervangen door een nieuw TCP-gebaseerd protocol dat andere poorten gebruikt. Na het migreren van tientallen EC2 instances en containers gedurende meerdere maanden, wil het team bevestigen dat er geen resterende systemen meer de oude poort gebruiken. De verificatie mag geen downtime veroorzaken. Welke aanpak voldoet aan deze vereiste?

VPC Flow Logs leggen IP-verkeersinformatie vast van en naar netwerkinterfaces in uw VPC. Door deze logs naar een S3-bucket te sturen en Amazon Athena te gebruiken, kunt u efficiënt query's uitvoeren op grote hoeveelheden loggegevens. U kunt filteren op het specifieke poortnummer van het oude protocol om te identificeren welke instances nog steeds verkeer via die poort genereren of ontvangen. Dit is een niet-invasieve methode die geen downtime veroorzaakt. Amazon Inspector richt zich op kwetsbaarheden en onbedoelde netwerktoegankelijkheid, niet op het actieve gebruik van specifieke poorten door applicaties. Amazon GuardDuty detecteert bedreigingen en afwijkend gedrag, maar is niet primair ontworpen voor het valideren van protocolgebruik op applicatieniveau. Handmatige inspectie van security groups en het verwijderen van poorten kan downtime veroorzaken als een applicatie de poort nog steeds nodig heeft, en het bevestigt niet of de poort daadwerkelijk in gebruik is, alleen of deze is toegestaan.