某公司在不同區域的七個 VPC 中使用 Amazon WorkSpaces。他們的雲端 SIEM 必須分析來自 WorkSpaces 的 DNS 查詢，以識別已連線的網域。該 SIEM 支援輪詢和推送日誌。哪種設計能以最具成本效益的方式滿足此要求？

正確答案是啟用 Amazon Route 53 查詢日誌記錄，並將日誌傳送到設定為將資料推送到 SIEM 的 Amazon Kinesis Data Firehose 傳輸串流。WorkSpaces 預設使用 Route 53 解析 DNS 查詢。啟用 Route 53 查詢日誌記錄可直接捕獲所有 WorkSpaces 的 DNS 查詢，這是識別已連線網域最直接且成本效益最高的方法。Kinesis Data Firehose 支援將日誌推送到各種目的地，包括 SIEM，符合 SIEM 的推送日誌能力。 VPC Flow Logs 記錄 IP 流量，但不會解析 DNS 查詢的詳細網域名稱，需要額外處理才能提取 DNS 資訊，且成本較高。安裝 CloudWatch 代理程式不適用於記錄 DNS 查詢，因為 DNS 解析是由 WorkSpaces 內部處理，而非代理程式監控的作業系統層級。VPC Traffic Mirroring 會複製所有網路流量，產生大量資料，成本極高且過度複雜，遠超出僅分析 DNS 查詢的需求。