Omnix Health souhaite une isolation automatique lorsque GuardDuty signale des compromissions EC2, tout en préservant l'accès forensique à distance. Le SOC exige que les instances affectées soient mises en quarantaine pour bloquer tout trafic externe à l'exception de Systems Manager, et que des snapshots EBS soient créés pour les preuves. Quelle solution répond le mieux à cette exigence ?

La solution correcte utilise EventBridge pour détecter les résultats GuardDuty spécifiques aux compromissions EC2. Une fonction Lambda est ensuite déclenchée pour remplacer le groupe de sécurité de l'instance par un groupe de quarantaine restrictif, n'autorisant que l'accès via Systems Manager (SSM) via les VPC endpoints, ce qui permet l'accès forensique à distance tout en bloquant le trafic externe. La Lambda crée également des snapshots EBS pour la conservation des preuves et notifie via SNS. Les autres options sont incorrectes car : L'alarme CloudWatch sur le CPU ne détecte pas les compromissions GuardDuty et l'arrêt de l'instance peut empêcher l'accès forensique. La règle EventBridge sur RunInstances ne répond pas à la détection de compromission par GuardDuty et la suppression du profil d'instance n'est pas une méthode de quarantaine appropriée ni suffisante. GuardDuty n'a pas d'action de quarantaine intégrée qui isole automatiquement l'instance et crée des snapshots sans code personnalisé.