Ein Sicherheitsingenieur erstellt eine Amazon EC2-Isolationsprozedur für die Reaktion auf Vorfälle. Ziel ist es, den gesamten eingehenden und ausgehenden Datenverkehr zu einer Zielinstanz zu blockieren, mit Ausnahme des Zugriffs durch das Forensikteam. Jede Instanz hat ihre eigene Sicherheitsgruppe, und mehrere Instanzen teilen sich dasselbe Subnetz. Während des Tests öffnet der Ingenieur eine SSH-Sitzung zur Zielinstanz, entfernt dann vorhandene Sicherheitsgruppenregeln und fügt Regeln hinzu, um dem Forensikteam den Zugriff auf Port 22 zu ermöglichen. Die vorhandene SSH-Sitzung bleibt aktiv, obwohl ICMP zur öffentlichen IP blockiert ist. Was sollte der Ingenieur tun, um die Instanz vollständig zu isolieren?

Die korrekte Antwort ist, die Sicherheitsgruppenregel für Port 22 zu entfernen und eine Instanzrollenrichtlinie anzuhängen, die den Zugriff auf AWS Systems Manager Session Manager erlaubt. Das Entfernen der Port-22-Regel blockiert die bestehende SSH-Sitzung und isoliert die Instanz vom Netzwerkzugriff über SSH. Systems Manager Session Manager ermöglicht dem Forensikteam den sicheren Zugriff auf die Instanz, ohne dass eingehende Ports in der Sicherheitsgruppe geöffnet werden müssen, da er über einen ausgehenden Kanal kommuniziert. Die anderen Optionen sind weniger effektiv oder ungeeignet: Das Hinzufügen und sofortige Löschen von 0.0.0.0/0-Regeln ist umständlich und nicht die primäre Methode zur Isolation. Eine Netzwerk-ACL mit Deny-all-Regeln würde den gesamten Datenverkehr blockieren, einschließlich des Zugriffs durch das Forensikteam über Systems Manager, und wäre zu restriktiv. Hostbasierte Firewall-Regeln sind gut, aber sie lösen nicht das Problem der bestehenden SSH-Sitzung, die über die Sicherheitsgruppe verwaltet wird, und sie ermöglichen keinen sicheren Zugriff für das Forensikteam ohne zusätzliche Konfiguration.