Une instance Amazon EC2 basée sur Linux qui utilise le stockage Amazon EBS dans un compte de développement établit des connexions sortantes vers des adresses IP malveillantes connues. Le VPC (us-east-1) dispose d'une passerelle Internet et de deux sous-réseaux (us-east-1a et us-east-1b), chacun avec une table de routage qui utilise la passerelle Internet comme route par défaut et la liste de contrôle d'accès réseau par défaut. L'instance suspecte est la seule instance dans le sous-réseau us-east-1b. Quelle réponse permettra de contenir immédiatement l'incident et de faciliter l'enquête sur la cause première ?

La bonne réponse contient immédiatement l'incident et facilite l'enquête. La mise à jour de la liste de contrôle d'accès réseau (NACL) sortante pour refuser tout trafic est une mesure rapide et efficace pour isoler l'instance du réseau externe, empêchant ainsi toute communication malveillante continue. Remplacer le groupe de sécurité de l'instance par un groupe qui n'autorise le trafic que depuis un groupe de sécurité de diagnostic dédié permet un accès contrôlé pour l'enquête sans compromettre l'isolement. La suppression ultérieure de la règle de refus général de la NACL permet un accès contrôlé via le groupe de sécurité. Lancer une nouvelle instance EC2 avec des outils de diagnostic et l'utiliser pour enquêter sur l'instance suspecte est une pratique recommandée pour l'analyse forensique, car cela évite de modifier l'instance compromise. Les autres options sont moins efficaces ou inappropriées. L'option 1 est trop lente et pourrait ne pas bloquer toutes les connexions malveillantes. L'option 3 termine l'instance, ce qui pourrait entraîner une perte de données volatiles nécessaires à l'enquête. L'option 4 est incorrecte car AWS WAF est utilisé pour protéger les applications web et n'est pas applicable directement à une instance EC2 de cette manière.