Una instancia de Amazon EC2 basada en Linux que utiliza almacenamiento de Amazon EBS en una cuenta de desarrollo está realizando conexiones salientes a direcciones IP maliciosas conocidas. La VPC (us-east-1) tiene un internet gateway y dos subredes (us-east-1a y us-east-1b), cada una con una tabla de ruteo que utiliza el internet gateway como ruta predeterminada y la network ACL predeterminada. La instancia sospechosa es la única instancia en la subred us-east-1b. ¿Qué respuesta contendrá inmediatamente el incidente y facilitará la investigación de la causa raíz?

La opción correcta aísla inmediatamente la instancia maliciosa al denegar todo el tráfico de salida a nivel de la NACL de la subred, lo que detiene las conexiones a IP maliciosas. Luego, permite el acceso controlado para la investigación reemplazando el grupo de seguridad de la instancia y permitiendo el tráfico solo desde un grupo de seguridad de diagnóstico dedicado. Esto minimiza el riesgo mientras se prepara una instancia de diagnóstico. Las otras opciones son menos efectivas o más arriesgadas. La primera opción no aísla inmediatamente y requiere acceso a la instancia comprometida. La tercera opción termina la instancia, lo que podría dificultar la investigación de la causa raíz en tiempo real. La cuarta opción utiliza AWS WAF, que opera a nivel de la capa de aplicación y no es adecuado para detener conexiones salientes de una instancia EC2 a nivel de red.