Una empresa ejecuta cargas de trabajo en cientos de instancias de Amazon EC2. Después de un incidente reciente en el que se ejecutó malware hasta que la instancia se terminó manualmente, la empresa habilitó Amazon GuardDuty para detectar malware en EC2. El ingeniero de seguridad debe automatizar la respuesta cuando GuardDuty marca una instancia como infectada, para mitigar el incidente de acuerdo con la guía del AWS Well-Architected Framework para la respuesta a incidentes. ¿Qué solución cumple con estos requisitos?

La opción correcta aísla el artefacto malicioso (volúmenes EBS) para un análisis forense y termina la instancia comprometida, lo que se alinea con las mejores prácticas de respuesta a incidentes del AWS Well-Architected Framework. Desconectar los volúmenes permite investigar el malware sin que la instancia siga ejecutándose, y la terminación detiene la propagación. Eliminar adaptadores de red o interfaces de red elásticas (ENI) puede no detener el malware que ya está en ejecución ni preservar la evidencia. Mover la instancia a una VPC aislada o cambiar grupos de seguridad puede no ser suficiente para contener el malware si ya ha comprometido el sistema operativo o los datos, y podría dificultar el análisis forense si la instancia sigue en ejecución.