Ein Unternehmen hat Amazon GuardDuty aktiviert und möchte die Reaktion auf potenzielle Bedrohungen automatisieren, beginnend mit RDP-Brute-Force-Angriffen, die von Amazon EC2-Instances in seiner Umgebung ausgehen. Ziel ist es, den Datenverkehr von einer verdächtigen Instance zu blockieren, bis die Untersuchung und Behebung abgeschlossen sind. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung nutzt AWS Security Hub, um GuardDuty-Ergebnisse zu aggregieren und an Amazon EventBridge weiterzuleiten. EventBridge kann dann eine AWS Lambda-Funktion auslösen, die wiederum AWS Network Firewall konfiguriert, um den RDP-Verkehr von der verdächtigen EC2-Instanz zu blockieren. Network Firewall bietet eine zentrale und skalierbare Methode zur Paketfilterung im VPC. Die erste Option ist zu komplex und Kinesis Data Analytics ist für diesen Anwendungsfall überdimensioniert. Die zweite Option verwendet AWS WAF, das für Webanwendungen konzipiert ist und nicht direkt für RDP-Verkehr auf EC2-Instanzen geeignet ist. Die vierte Option würde die Sicherheitsgruppe der Instanz komplett ersetzen, was zu einem Dienstausfall führen könnte und weniger präzise ist als das Blockieren spezifischen Traffics über eine Firewall.