Ein Unternehmen betreibt Workloads auf Hunderten von Amazon EC2-Instances. Nach einem kürzlichen Vorfall, bei dem Malware lief, bis die Instance manuell beendet wurde, hat das Unternehmen Amazon GuardDuty aktiviert, um Malware auf EC2 zu erkennen. Der Sicherheitsingenieur muss die Reaktion automatisieren, wenn GuardDuty eine Instance als infiziert kennzeichnet, um den Vorfall gemäß der AWS Well-Architected Framework-Anleitung zur Incident Response zu entschärfen. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung isoliert die Bedrohung effektiv und ermöglicht eine forensische Analyse. Das Trennen der EBS-Volumes von der infizierten Instance und deren Kennzeichnung als "Infected" stellt sicher, dass die Daten für die Untersuchung erhalten bleiben, während die Beendigung der Instance die Ausbreitung der Malware stoppt. Das Entfernen von Netzwerkadaptern über Run Command (Option 1) ist riskant, da dies die Instance unzugänglich machen könnte, bevor forensische Daten gesammelt werden. Das Löschen von ENIs (Option 2) würde die Volumes ebenfalls unzugänglich machen und die Daten vernichten. Das Verschieben der Instance in eine isolierte VPC (Option 4) ist eine gute Isolationsmaßnahme, aber das Beenden der Instance und das Trennen der Volumes ist eine aggressivere und oft bevorzugte Methode, um die Ausbreitung sofort zu stoppen und gleichzeitig die Daten für die Analyse zu sichern.