Un'azienda esegue carichi di lavoro su centinaia di istanze Amazon EC2. Dopo un recente incidente in cui un malware è rimasto in esecuzione fino alla terminazione manuale dell'istanza, l'azienda ha abilitato Amazon GuardDuty per rilevare il malware su EC2. L'ingegnere della sicurezza deve automatizzare la risposta quando GuardDuty segnala un'istanza come infetta, per mitigare l'incidente in conformità con le linee guida dell'AWS Well-Architected Framework per la risposta agli incidenti. Quale soluzione soddisfa questi requisiti?

La risposta corretta è "Richiamare una funzione AWS Lambda sui rilevamenti di GuardDuty per scollegare tutti i volumi Amazon EBS dall'istanza, taggare i volumi come Infected e quindi terminare l'istanza." Questa soluzione segue i principi del Well-Architected Framework per la risposta agli incidenti, isolando la risorsa compromessa e prevenendo la diffusione del malware. Terminare l'istanza infetta è il modo più efficace per fermare l'esecuzione del malware. Scollegare i volumi EBS consente di conservare i dati per l'analisi forense, mentre il tagging aiuta a identificarli. Le altre opzioni sono meno efficaci o inappropriate: Rimuovere gli adattatori di rete o eliminare le interfacce di rete elastiche (ENI) può isolare l'istanza, ma il malware potrebbe rimanere attivo e persistere. Spostare l'istanza in una VPC isolata o applicare un gruppo di sicurezza deny-all isola l'istanza, ma non rimuove la minaccia attiva, lasciando il malware in esecuzione.