Omnix Health wünscht eine automatische Eindämmung, wenn GuardDuty EC2-Kompromittierungsfunde meldet, während der Remote-Forensikzugriff erhalten bleibt. Das SOC verlangt, dass betroffene Instanzen unter Quarantäne gestellt werden, um den gesamten externen Datenverkehr außer Systems Manager zu blockieren, und dass EBS-Snapshots als Beweismittel erstellt werden. Welche Lösung erfüllt die Anforderung am besten?

Diese Lösung erfüllt alle Anforderungen: Die EventBridge-Regel reagiert auf GuardDuty-Funde. Eine Lambda-Funktion ersetzt die Sicherheitsgruppen der betroffenen EC2-Instanz durch eine Quarantäne-Sicherheitsgruppe, die nur den Zugriff über Systems Manager (SSM) über VPC-Endpunkte erlaubt. Dies blockiert externen Datenverkehr, erhält aber den Remote-Forensikzugriff. Anschließend werden EBS-Snapshots zur Beweissicherung erstellt und eine Benachrichtigung über SNS gesendet. Die anderen Optionen sind unzureichend: Ein CloudWatch-Alarm für die CPU ist keine zuverlässige Methode zur Erkennung von Kompromittierungen und das Stoppen/Trennen von Volumes verhindert den Forensikzugriff. Das Entfernen des Instanzprofils über CloudTrail bei RunInstances ist keine Quarantänemaßnahme für eine bereits kompromittierte Instanz und sichert keine Beweismittel. GuardDuty bietet keine integrierte Quarantäneaktion, die automatisch Instanzen isoliert und Snapshots erstellt.