Команда реагирования на инциденты CortexRetail расследует потенциальные попытки подбора паролей по SSH. VPC Flow Logs из трех VPC доставляются в отдельные группы журналов CloudWatch Logs. Команде нужен, в течение нескольких минут, ранжированный список из 10 лучших исходных IP-адресов с REJECTed трафиком на порт назначения 22 за последние 15 минут по всем VPC. Что им следует сделать?

CloudWatch Logs Insights позволяет выполнять запросы к нескольким группам журналов одновременно, что идеально подходит для агрегации данных из разных VPC Flow Logs. Запрос filter action="REJECT" and dstPort=22 | stats count() as attempts by srcAddr | sort attempts desc | limit 10 эффективно фильтрует отклоненный трафик на порт 22, подсчитывает попытки по исходному IP-адресу, сортирует их и выводит 10 самых активных, удовлетворяя всем требованиям задачи по скорости и точности. Создание фильтров метрик и оповещений CloudWatch не предоставит ранжированный список IP-адресов, а лишь уведомит о превышении пороговых значений. Экспорт в S3 и использование Athena займет больше времени из-за задержек экспорта и выполнения запроса. CloudTrail Lake не предназначен для анализа VPC Flow Logs; он используется для аудита действий в AWS.