Компания должна проводить аудит и регистрировать весь исходящий интернет-трафик, исходящий из частных подсетей в нескольких регионах и VPC, подключенных через Transit Gateway. Они планируют использовать AWS Network Firewall и нуждаются в полном логировании всего трафика для аудита и оповещения. Как следует настроить логирование Network Firewall, чтобы обеспечить полный захват оповещений и потоков?

Правильный ответ — «Включить встроенное логирование Network Firewall для захвата как событий оповещений, так и логов потоков». AWS Network Firewall имеет встроенные возможности логирования, которые позволяют захватывать два типа логов: логи оповещений (alert logs) и логи потоков (flow logs). Логи оповещений содержат информацию о трафике, который был заблокирован или вызвал срабатывание правил, а логи потоков записывают метаданные о каждом сетевом соединении, проходящем через файрвол. Это обеспечивает полный аудит и видимость всего исходящего трафика, как того требуют условия задачи. Остальные варианты не подходят: Включение логирования Network Firewall в Amazon CloudWatch для захвата только оповещений не обеспечит полного логирования всего трафика, так как не будут записываться логи потоков. VPC Flow Logs для конечной точки файрвола не являются частью встроенного логирования Network Firewall и могут не предоставить всей необходимой детализации для аудита правил файрвола. События данных AWS CloudTrail фиксируют активность API и управления ресурсами, а не сетевой трафик, проходящий через файрвол.