В многоаккаунтной среде компания маршрутизирует весь исходящий трафик через Transit Gateway в аккаунт сетевых операций. Там трафик проверяется межсетевым экраном, прежде чем достичь интернет-шлюза. Межсетевой экран записывает логи в CloudWatch Logs и классифицирует события как CRITICAL, HIGH, MEDIUM, LOW и INFO. Команда безопасности должна получать оповещения при появлении любых событий CRITICAL. Что должен реализовать DevOps-инженер для выполнения этого требования?

Правильный ответ — создание фильтра метрик CloudWatch Logs. Межсетевой экран записывает логи в CloudWatch Logs, и эти логи содержат классификацию событий (CRITICAL, HIGH и т.д.). Фильтр метрик CloudWatch Logs позволяет искать определенные шаблоны в логах (в данном случае, "CRITICAL") и преобразовывать их в числовые метрики. Затем на основе этой метрики можно создать CloudWatch Alarm, который срабатывает при появлении событий CRITICAL и отправляет уведомление в топик SNS. Команда безопасности, подписанная на этот топик, получит оповещение. Неправильные варианты: CloudWatch Synthetics canary предназначен для мониторинга доступности и производительности конечных точек, а не для анализа содержимого логов межсетевого экрана. Amazon GuardDuty фокусируется на обнаружении угроз и аномалий, а не на фильтрации специфических сообщений из логов межсетевого экрана. AWS Firewall Manager управляет политиками межсетевых экранов, но не предоставляет механизм для создания оповещений на основе содержимого логов, генерируемых сторонним межсетевым экраном.