Um engenheiro de segurança está criando um procedimento de isolamento de Amazon EC2 para resposta a incidentes. O objetivo é bloquear todo o tráfego de entrada e saída para uma instância de destino, exceto o acesso da equipe forense. Cada instância tem seu próprio security group, e várias instâncias compartilham a mesma sub-rede. Durante o teste, o engenheiro abre uma sessão SSH para o destino, então remove as regras de security group existentes e adiciona regras para permitir a equipe forense na porta 22. A sessão SSH existente permanece ativa, embora o ICMP para o IP público esteja bloqueado. O que o engenheiro deve fazer para isolar completamente a instância?

A opção correta isola a instância de forma eficaz e mantém o acesso forense. Remover a regra de security group da porta 22 encerra a sessão SSH existente e bloqueia novas conexões SSH diretas, isolando a instância. Anexar uma política de função de instância que permita o acesso ao AWS Systems Manager Session Manager permite que a equipe forense se conecte à instância sem a necessidade de portas abertas no security group ou IPs públicos, usando um canal seguro e auditável. A primeira opção é ineficaz e arriscada, pois abrir 0.0.0.0/0 antes de fechar pode expor a instância. A terceira opção (Network ACL) bloquearia todo o tráfego para todas as instâncias na sub-rede, não apenas a de destino, e não permitiria o acesso forense. A quarta opção (firewall baseado em host) é uma boa prática, mas não é suficiente para isolar completamente a instância do nível da rede AWS, e o Systems Manager Session Manager já oferece uma solução mais integrada e segura para o acesso forense.