VPC 中的應用程式使用 NAT gateway 進行出站網際網路存取。網路工程師觀察到從 VPC 到拒絕清單上的 IP 位址有大量可疑的出站流量。工程師需要確定哪些 AWS 資源正在產生該流量，同時還要保持成本和管理工作量低。哪種方法能滿足這些要求？

正確答案是啟用 VPC Flow Logs 並將日誌發佈到 Amazon CloudWatch Logs 日誌群組，然後使用 CloudWatch Logs Insights 查詢。VPC Flow Logs 記錄所有網路流量，包含來源和目的地 IP、連接埠等，能有效追蹤出站流量。將日誌發佈到 CloudWatch Logs 可集中管理，而 CloudWatch Logs Insights 提供強大的查詢功能，能快速分析日誌以識別可疑流量來源，且成本效益高，管理負擔小。 其他選項的缺點： Traffic Mirroring 需要額外啟動 EC2 實例作為目標，並安裝開源工具，增加了成本和管理複雜性。NAT Gateway 作為來源，難以直接追溯到具體的內部資源。 部署 SIEM 解決方案雖然功能強大，但成本和管理工作量遠高於 CloudWatch Logs Insights。 將流量串流到 Kinesis、S3 和 Athena 雖然可行，但其架構複雜度、成本和延遲都高於直接使用 CloudWatch Logs Insights 進行即時分析。