GuardDuty signale un trafic réseau sortant suspect depuis une instance EC2 et identifie une adresse IP externe inconnue comme destination. L'administrateur doit empêcher immédiatement le trafic vers cette IP externe. Quelle action permettra d'y parvenir ?

La bonne réponse est de créer ou de mettre à jour une ACL réseau (NACL) sur le sous-réseau. Les NACL opèrent au niveau du sous-réseau et peuvent bloquer le trafic entrant et sortant vers des adresses IP spécifiques, agissant comme un pare-feu sans état. Elles sont idéales pour bloquer immédiatement le trafic vers une adresse IP malveillante connue pour toutes les instances d'un sous-réseau. Les groupes de sécurité (security groups) sont des pare-feu avec état qui opèrent au niveau de l'instance. Bien qu'ils puissent bloquer le trafic sortant, ils devraient être appliqués à chaque instance individuellement ou modifiés pour chaque groupe de sécurité existant, ce qui est moins efficace pour un blocage immédiat à l'échelle du sous-réseau. Les groupes de sécurité ne peuvent pas être appliqués au niveau du VPC. L'analyse des journaux de flux VPC avec Amazon Athena est une action d'investigation et non une mesure de blocage immédiat.