Omnix Health desidera un contenimento automatico quando GuardDuty rileva risultati di compromissione di EC2, preservando al contempo l'accesso forense remoto. Il SOC richiede che le istanze interessate vengano messe in quarantena per bloccare tutto il traffico esterno eccetto Systems Manager e che vengano creati snapshot EBS per le prove. Qual è la soluzione che soddisfa al meglio il requisito?

La soluzione corretta utilizza EventBridge per reagire ai risultati specifici di GuardDuty su EC2. Una funzione Lambda viene invocata per sostituire i security group dell'istanza compromessa con un security group di quarantena. Questo security group è configurato per bloccare tutto il traffico esterno, ad eccezione di quello necessario per AWS Systems Manager (SSM), che consente l'accesso forense remoto come richiesto. La Lambda crea anche snapshot dei volumi EBS per la raccolta delle prove e notifica tramite SNS. Le altre opzioni sono meno efficaci: L'allarme CloudWatch sulla CPU non è un metodo affidabile per rilevare compromissioni e l'arresto dell'istanza con scollegamento dei volumi non consente l'accesso forense. La regola EventBridge su RunInstances e la rimozione del profilo dell'istanza non affrontano la compromissione di un'istanza già in esecuzione e non creano snapshot per le prove. GuardDuty non offre un'azione di quarantena integrata che soddisfi tutti i requisiti specifici (isolamento con accesso SSM e creazione di snapshot) senza codice personalizzato.