Ein Malware-Ausbruch hat mehrere Amazon EC2-Instanzen betroffen. Ein wichtiger Indikator ist der ausgehende Datenverkehr auf TCP-Port 2905 zu internetbasierten Command-and-Control-Hosts. Eine Netzwerk-ACL-Regel wurde bereitgestellt, um diesen ausgehenden Datenverkehr auf Subnetz-Ebene zu unterbinden. Der Sicherheitsingenieur muss ermitteln, welche EC2-Instanzen versuchen, Verbindungen auf TCP-Port 2905 herzustellen. Welche Option identifiziert die betroffenen Instanzen mit dem geringsten Betriebsaufwand?

Die Aktivierung von VPC Flow Logs, die abgelehnten Datenverkehr erfassen, ist die effizienteste Methode. Da eine Netzwerk-ACL den ausgehenden Datenverkehr auf TCP-Port 2905 blockiert, werden alle Verbindungsversuche in den Flow Logs als REJECT-Einträge protokolliert. Durch das Durchsuchen dieser Logs nach dem Ziel-TCP-Port 2905 können die betroffenen EC2-Instanzen direkt identifiziert werden, ohne zusätzliche Infrastruktur bereitstellen oder komplexe Analysen durchführen zu müssen. Der Network Access Analyzer ist für die Analyse von Netzwerkpfaden konzipiert, nicht für die Identifizierung von Instanzen, die aktiv blockierten Datenverkehr generieren. GuardDuty und Detective sind leistungsstarke Tools, erfordern jedoch eine komplexere Konfiguration und sind nicht primär darauf ausgelegt, spezifisch blockierten Datenverkehr aufgrund einer bekannten ACL-Regel zu identifizieren. AWS Network Firewall wäre eine effektive Lösung, aber das Bereitstellen und Konfigurieren einer neuen Firewall für diesen Zweck ist mit höherem Betriebsaufwand verbunden als die Nutzung vorhandener Protokollierungsfunktionen.