In een multi-account setup leidt het bedrijf al het uitgaande verkeer via een Transit Gateway naar een netwerkoperations-account. Daar wordt het verkeer geïnspecteerd door een firewall-appliance voordat het de internetgateway bereikt. De firewall schrijft logs naar CloudWatch Logs en classificeert gebeurtenissen als CRITICAL, HIGH, MEDIUM, LOW en INFO. Het beveiligingsteam moet worden gewaarschuwd wanneer er CRITICAL-gebeurtenissen verschijnen. Wat moet de DevOps-engineer implementeren om aan deze vereiste te voldoen?

De correcte optie is om een CloudWatch Logs metric filter te maken. Dit filter zoekt in de logstreams van de firewall naar het patroon "CRITICAL" en creëert op basis daarvan een custom metric. Vervolgens kan een CloudWatch alarm worden geconfigureerd om deze custom metric te monitoren. Wanneer het aantal CRITICAL-gebeurtenissen een gedefinieerde drempel overschrijdt, activeert het alarm en publiceert het een melding naar een SNS topic. Het beveiligingsteam kan dan geabonneerd worden op dit SNS topic om e-mailnotificaties te ontvangen. De andere opties zijn minder geschikt: CloudWatch Synthetics canaries zijn bedoeld om de beschikbaarheid en prestaties van endpoints te testen, niet om logbestanden te analyseren op specifieke inhoud. Amazon GuardDuty is een bedreigingsdetectieservice die afwijkingen in netwerkactiviteit en AWS-gebruik analyseert, niet direct de inhoud van firewall-logs. AWS Firewall Manager helpt bij het centraal beheren van firewallregels, maar detecteert geen specifieke loginhoud van een firewall-appliance.