Une épidémie de logiciels malveillants a affecté plusieurs instances Amazon EC2. Un indicateur clé est le trafic sortant sur le port TCP 2905 vers des hôtes de commande et de contrôle basés sur Internet. Une règle de liste de contrôle d'accès réseau (ACL réseau) a été déployée pour refuser ce trafic sortant au niveau du sous-réseau. L'ingénieur de sécurité doit identifier les instances EC2 qui tentent des connexions sur le port TCP 2905. Quelle option permettra d'identifier les instances affectées avec le moins d'effort opérationnel ?

L'activation des journaux de flux VPC, configurés pour capturer le trafic rejeté, est la solution la plus efficace. Les ACL réseau rejettent le trafic au niveau du sous-réseau, et les journaux de flux VPC enregistreront ces rejets, y compris l'adresse IP source (l'instance EC2) et le port de destination (2905). Cela permet une identification directe des instances affectées avec un effort opérationnel minimal. Créer une portée d'accès réseau dans Network Access Analyzer est utile pour l'analyse de la connectivité mais ne fournit pas d'informations sur le trafic réel rejeté. Activer GuardDuty avec une liste d'adresses IP personnalisée et Amazon Detective est une approche plus complexe et ne cible pas directement le trafic rejeté par l'ACL réseau. Déployer AWS Network Firewall est une solution de prévention, pas d'identification rétroactive du trafic déjà rejeté par une ACL réseau existante.