Компания использует AWS Network Firewall для проверки трафика в интернет и из интернета. Им необходимо собирать полные метаданные (IP-адреса источника/назначения, протокол) и записывать все потоки трафика, а также любые действия DROP или ALERT, выполняемые фаерволом. Конечные точки фаервола и таблицы маршрутизации настроены правильно, так что трафик проходит через Network Firewall. Как следует настроить фаервол для выполнения этих требований к логированию и метаданным?

Правильный ответ: Чтобы собирать полные метаданные и логировать все потоки трафика, а также действия DROP/ALERT, необходимо использовать stateful движок Network Firewall. Stateful движок отслеживает состояние соединений и может предоставлять более детальные логи, включая метаданные. Настройка логирования Network Firewall для логов оповещений (alert logs) и логов потоков (flow logs) является обязательной. Alert logs фиксируют действия DROP/ALERT, а flow logs содержат полные метаданные о трафике. Выбор отдельных назначений для этих типов логов позволяет эффективно их собирать и анализировать. Неправильные варианты: Использование только CloudWatch Logs для логов потоков не обеспечит сбор alert logs. Выбор назначения для логов отдельно для stateful и stateless движков не гарантирует, что весь трафик будет обрабатываться stateful движком, что необходимо для полных метаданных. Использование VPC Flow Logs вместо логирования Network Firewall не предоставит информацию о действиях DROP/ALERT, выполняемых именно фаерволом.