Firma używa AWS Network Firewall do inspekcji ruchu do i z internetu. Muszą przechwytywać pełne metadane (źródłowe/docelowe adresy IP, protokół) i rejestrować wszystkie przepływy ruchu oraz wszelkie akcje DROP lub ALERT podjęte przez zaporę. Punkty końcowe zapory i tabele routingu są prawidłowo rozmieszczone, dzięki czemu ruch przepływa przez Network Firewall. Jak należy skonfigurować zaporę, aby spełnić te wymagania dotyczące logowania i metadanych?

Prawidłowa odpowiedź jest poprawna, ponieważ AWS Network Firewall wymaga, aby cały ruch był przetwarzany przez silnik stanowy w celu przechwytywania pełnych metadanych przepływu (źródłowe/docelowe adresy IP, protokół) oraz rejestrowania wszystkich przepływów i akcji DROP/ALERT. Konfiguracja logowania Network Firewall dla logów alertów i logów przepływu, z oddzielnymi miejscami docelowymi, jest niezbędna do spełnienia tych wymagań. Nieprawidłowe opcje: Opcja 1 jest nieprawidłowa, ponieważ samo wybranie CloudWatch Logs jako miejsca docelowego dla logów przepływu nie gwarantuje przechwytywania wszystkich wymaganych metadanych ani akcji DROP/ALERT, jeśli ruch nie jest przetwarzany przez silnik stanowy. Opcja 2 jest nieprawidłowa, ponieważ sugeruje oddzielne miejsca docelowe dla logów silników stanowych i bezstanowych, podczas gdy wymaganie pełnych metadanych i akcji DROP/ALERT wymaga przetwarzania przez silnik stanowy. Opcja 4 jest nieprawidłowa, ponieważ VPC Flow Logs rejestrują ruch na poziomie interfejsu sieciowego i nie przechwytują szczegółowych akcji podjętych przez Network Firewall (np. DROP/ALERT) ani pełnych metadanych przepływu w kontekście reguł zapory.