Firma uruchamia aplikację na Amazon EKS i dystrybuuje ją za pośrednictwem Amazon CloudFront. AWS WAF jest włączony, a logi WAF są wysyłane do grupy logów CloudWatch Logs o nazwie aws-waf-logs. Firma chce otrzymywać alerty tylko w przypadku nagłych zmian w zablokowanym ruchu, a nie w przypadku innych wariacji logów WAF. Reguły WAF będą dostrajane w czasie. Inżynier DevOps jest subskrybentem istniejącego tematu SNS. Które rozwiązanie spełnia te wymagania?

Poprawna odpowiedź spełnia wymagania, ponieważ tworzy filtr metryk CloudWatch Logs, który izoluje tylko zablokowane żądania z logów WAF. Następnie wykorzystuje wykrywanie anomalii CloudWatch dla tej niestandardowej metryki. Wykrywanie anomalii jest idealne do identyfikowania nagłych zmian, ponieważ uczy się normalnego wzorca ruchu i alarmuje tylko wtedy, gdy ruch wykracza poza oczekiwany zakres, co jest zgodne z potrzebą firmy, aby otrzymywać alerty tylko w przypadku nagłych zmian, a nie innych wariacji. Alarm jest następnie konfigurowany tak, aby powiadamiać istniejący temat SNS. Pozostałe opcje są nieprawidłowe, ponieważ: Tworzenie detektora anomalii CloudWatch dla całej grupy logów (opcje 2 i 4) jest zbyt szerokie i może generować alerty dla innych wariacji logów, których firma nie chce. Użycie statycznego progu (opcja 3) nie jest odpowiednie, ponieważ reguły WAF będą dostrajane w czasie, co zmieniałoby "akceptowalny próg" i wymagałoby ciągłej ręcznej aktualizacji alarmu. Wykrywanie anomalii dostosowuje się dynamicznie.