Q39 — AWS SCS-C02 第1章

第 39/100 题 | ← 返回第1章

一家公司使用Amazon Route 53 Resolver构建其混合DNS基础设施。该公司已为托管在本地DNS服务器上的权威域名设置了Route 53 Resolver转发规则。 一项新的安全规范要求公司实施一种解决方案，以记录并查询流向本地DNS服务器的DNS流量。日志必须显示发起查询的实例的源IP地址详情。日志还必须显示Route 53 Resolver中请求的DNS名称。 哪种解决方案能满足这些要求？

• A. 使用VPC流量镜像（Traffic Mirroring）。将所有相关弹性网络接口配置为流量源，在镜像筛选器中包含amazon-dns，并将Amazon CloudWatch Logs设置为镜像目标。
• B. 在所有相关VPC上配置VPC流日志。将日志发送到Amazon S3存储桶。使用Amazon Athena对源IP地址和DNS名称运行SQL查询。
• C. 在所有相关VPC上配置Route 53 Resolver查询日志。将日志发送到Amazon CloudWatch Logs。使用CloudWatch Insights对源IP地址和DNS名称运行查询。 ✓
• D. 修改转发至本地DNS服务器的权威域名的Route 53 Resolver规则。将日志发送到Amazon S3存储桶。使用Amazon Athena对源IP地址和DNS名称运行SQL查询。

正确答案: C. 在所有相关VPC上配置Route 53 Resolver查询日志。将日志发送到Amazon CloudWatch Logs。使用CloudWatch Insights对源IP地址和DNS名称运行查询。

解析

该题涉及Amazon Route 53 Resolver的日志记录功能。AWS官方文档指出，Route 53 Resolver查询日志可捕获DNS查询的详细信息，包括源IP地址和请求的域名。选项C通过启用Resolver查询日志并发送到CloudWatch Logs，符合直接记录和查询这两个字段的需求。选项A的Traffic Mirroring适用于网络流量复制而非专用DNS日志记录；选项B的VPC流日志仅记录IP流量元数据，不含DNS查询内容；选项D未明确提及Resolver日志配置且存储位置可能不匹配查询工具。正确答案与Resolver查询日志功能的使用场景一致。