Uma instância Amazon EC2 baseada em Linux que usa armazenamento Amazon EBS em uma conta de desenvolvimento está fazendo conexões de saída para endereços IP maliciosos conhecidos. A VPC (us-east-1) tem um internet gateway e duas sub-redes (us-east-1a e us-east-1b), cada uma com uma tabela de rotas que usa o internet gateway como rota padrão e a ACL de rede padrão. A instância suspeita é a única instância na sub-rede us-east-1b. Qual resposta conterá imediatamente o incidente e facilitará a investigação da causa raiz?

A opção correta isola imediatamente a instância comprometida e permite a investigação. Negar todo o tráfego de saída na ACL de rede da sub-rede (que é sem estado e processa as regras em ordem numérica) interrompe a comunicação maliciosa. Substituir o security group restringe o acesso à instância apenas para a equipe de investigação. Remover a regra de negação da ACL após o isolamento do security group permite que a equipe de diagnóstico acesse a instância. A criação de uma nova instância de diagnóstico e a montagem dos volumes EBS para análise é uma prática recomendada para evitar a contaminação da instância original. As outras opções são menos eficazes ou mais arriscadas: A primeira opção tenta investigar na instância comprometida antes de isolá-la completamente, o que é arriscado, e as regras do security group são com estado, não garantindo o bloqueio imediato de todas as conexões existentes. A terceira opção encerra a instância, o que pode destruir evidências voláteis e interromper a investigação em andamento. A quarta opção usa AWS WAF, que opera na camada de aplicação e não é adequado para bloquear tráfego de saída de uma instância EC2 para endereços IP maliciosos.