Un brote de malware ha afectado a varias instancias de Amazon EC2. Un indicador clave es el tráfico saliente en el puerto TCP 2905 hacia hosts de comando y control basados en Internet. Se ha implementado una regla de ACL de red para denegar este tráfico saliente a nivel de subred. El ingeniero de seguridad debe identificar qué instancias de EC2 están intentando conexiones en el puerto TCP 2905. ¿Qué opción identificará las instancias afectadas con el menor esfuerzo operativo?

La opción correcta es habilitar los VPC Flow Logs configurados para capturar el tráfico rechazado y luego buscar registros REJECT con el puerto TCP de destino 2905. Los VPC Flow Logs registran metadatos sobre el tráfico IP que entra y sale de las interfaces de red en su VPC, incluyendo el estado de aceptación o rechazo. Al filtrar por registros REJECT y el puerto 2905, se pueden identificar directamente las instancias de EC2 que intentaron establecer conexiones salientes a ese puerto, incluso después de que la ACL de red las bloqueara. Esto requiere un esfuerzo operativo mínimo ya que los Flow Logs son una característica nativa de AWS y la búsqueda se realiza sobre datos ya existentes. Crear un Network Access Scope en Network Access Analyzer no es adecuado porque esta herramienta se usa para analizar rutas de red y verificar la conectividad, no para identificar instancias que ya intentaron una conexión. Habilitar GuardDuty con una lista de IP personalizada y usar Detective es una solución más compleja y reactiva, que no se enfoca directamente en el tráfico rechazado por una ACL de red. Implementar AWS Network Firewall es una solución de prevención y registro, pero su implementación es más compleja y requiere más esfuerzo operativo que simplemente consultar los Flow Logs ya existentes o fácilmente configurables.