Um surto de malware afetou várias instâncias Amazon EC2. Um indicador chave é o tráfego de saída na porta TCP 2905 para hosts de comando e controle baseados na internet. Uma regra de ACL de rede foi implantada para negar esse tráfego de saída no nível da sub-rede. O engenheiro de segurança deve identificar quais instâncias EC2 estão tentando conexões na porta TCP 2905. Qual opção identificará as instâncias afetadas com o menor esforço operacional?

A opção correta é habilitar os logs de fluxo da VPC para a VPC, configurados para capturar o tráfego rejeitado, e pesquisar nos logs por registros REJECT com porta TCP de destino 2905. Isso fornece uma visão direta de quais instâncias estão tentando estabelecer conexões negadas pela ACL de rede, com baixo esforço operacional. Criar um Network Access Scope no Amazon VPC Network Access Analyzer é para analisar a conectividade de rede permitida, não para identificar tentativas de conexão negadas. Habilitar o Amazon GuardDuty e criar uma lista de IP personalizada é uma boa prática de segurança, mas o GuardDuty pode não detectar todas as tentativas de conexão para uma porta específica e o Detective adiciona complexidade. Implantar o AWS Network Firewall é uma solução robusta para inspeção de tráfego, mas exige mais esforço de implantação e configuração do que simplesmente analisar os logs de fluxo existentes.