Firma korzysta z Amazon WorkSpaces w siedmiu VPC w różnych regionach. Jej chmurowy SIEM musi analizować zapytania DNS z WorkSpaces w celu identyfikacji kontaktowanych domen. SIEM obsługuje zarówno odpytywanie (polling), jak i wypychanie (pushing) logów. Jaki jest najbardziej opłacalny projekt spełniający to wymaganie?

Prawidłowa odpowiedź to włączenie logowania zapytań Amazon Route 53 i wysyłanie logów do strumienia dostarczania Amazon Kinesis Data Firehose skonfigurowanego do wypychania danych do SIEM. WorkSpaces używają prywatnych stref hostowanych Route 53 do rozwiązywania nazw DNS. Włączenie logowania zapytań Route 53 dla tych stref prywatnych przechwytuje wszystkie zapytania DNS. Kinesis Data Firehose jest opłacalnym i skalowalnym sposobem na dostarczanie tych logów do SIEM. Opcja z VPC Flow Logs jest nieprawidłowa, ponieważ Flow Logs rejestrują ruch sieciowy na poziomie interfejsu, a nie szczegółowe zapytania DNS. Opcja z agentem CloudWatch jest nieprawidłowa, ponieważ WorkSpaces nie mają bezpośredniego dostępu do instalacji agentów, a logowanie zapytań DNS w ten sposób byłoby złożone i nieefektywne. Opcja z VPC Traffic Mirroring jest nieprawidłowa, ponieważ jest to kosztowne i złożone rozwiązanie do analizy ruchu sieciowego, a nie specyficznie zapytań DNS.