Un ingeniero de seguridad está creando un procedimiento de aislamiento de Amazon EC2 para la respuesta a incidentes. El objetivo es bloquear todo el tráfico de entrada y salida a una instancia objetivo, excepto el acceso del equipo forense. Cada instancia tiene su propio security group, y varias instancias comparten la misma subred. Durante las pruebas, el ingeniero abre una sesión SSH al objetivo, luego elimina las reglas existentes del security group y añade reglas para permitir el acceso del equipo forense en el puerto 22. La sesión SSH existente permanece activa, aunque el ICMP a la IP pública está bloqueado. ¿Qué debería hacer el ingeniero para aislar completamente la instancia?

La opción correcta aísla la instancia de manera efectiva al eliminar la regla del puerto 22, cortando el acceso SSH directo. Luego, permite el acceso forense seguro y auditable a través de AWS Systems Manager Session Manager, que no depende de reglas de security group ni de puertos abiertos en la instancia, sino de un rol de IAM. La sesión SSH existente permanece activa porque los security groups son stateful; las conexiones establecidas no se ven afectadas por la eliminación de la regla de salida. Las opciones incorrectas: Añadir y eliminar reglas 0.0.0.0/0 no aísla la instancia y podría crear una ventana de vulnerabilidad. Crear una ACL de red con reglas de denegación total es una buena medida de aislamiento, pero no permite el acceso forense de forma controlada. Usar AWS Systems Manager para ejecutar un documento que añada reglas de firewall basadas en el host es una solución a nivel de sistema operativo, que puede ser eludida o no ser tan efectiva como el control a nivel de red (security groups/ACLs) y no proporciona una forma de acceso forense.