Uma empresa está testando procedimentos de resposta a incidentes para contenção de destino. A empresa deve isolar uma instância crítica do Amazon EC2 imediatamente, mantendo-a em execução. A instância é o único recurso em sua sub-rede pública e tem conexões ativas com outros recursos. Qual solução conterá a instância imediatamente?

A criação de uma nova Network ACL (NACL) com regras DENY para todo o tráfego de entrada e saída, e sua associação à sub-rede da instância, é a solução mais eficaz para isolar a instância imediatamente, mantendo-a em execução. As NACLs operam no nível da sub-rede e são stateless, o que significa que bloqueiam o tráfego em ambas as direções independentemente do estado da conexão. Isso garante que a instância seja isolada de todas as comunicações externas e internas na sub-rede, sem interromper sua execução, permitindo a análise forense ou a contenção de um incidente. Modificar o security group existente ou criar um novo sem regras pode não ser suficiente, pois security groups são stateful e permitem o tráfego de retorno para conexões estabelecidas, além de operarem no nível da instância. Criar uma nova VPC e migrar a instância envolve parar a instância, o que é contra o requisito de mantê-la em execução e é um processo mais demorado.