Omnix Health 希望在 GuardDuty 发现 EC2 泄露时自动进行隔离，同时保留远程取证访问权限。安全运营中心 (SOC) 要求受影响的实例被隔离，以阻止所有外部流量，但 Systems Manager 除外，并且为取证创建 EBS 快照。哪种解决方案最能满足要求？

正确答案通过 EventBridge 规则响应 GuardDuty 发现，触发 Lambda 函数。该函数将实例的安全组替换为仅允许 Systems Manager (SSM) 访问的隔离安全组，从而阻止外部流量但保留取证访问。同时，它创建 EBS 快照以保存证据，并发布到 SNS 主题进行通知。这满足了隔离、保留取证访问和证据收集的所有要求。 其他选项不符合所有要求： CloudWatch 警报基于 CPU 使用率，而不是 GuardDuty 发现，并且停止实例会终止取证访问。 移除实例配置文件不能有效隔离实例，并且可能中断必要的取证工具。 GuardDuty 没有内置的隔离操作，需要自定义解决方案来实现隔离和快照功能。