Un'azienda ha abilitato Amazon GuardDuty e desidera automatizzare la risposta a potenziali minacce, a partire dagli attacchi di forza bruta RDP originati da istanze Amazon EC2 nel suo ambiente. L'obiettivo è bloccare il traffico da un'istanza sospetta fino al completamento dell'indagine e della bonifica. Quale soluzione soddisfa questi requisiti?

La risposta corretta utilizza AWS Security Hub per centralizzare i risultati di GuardDuty e instradarli ad Amazon EventBridge. Questo permette una gestione automatizzata degli eventi. AWS Network Firewall è la soluzione più appropriata per bloccare il traffico a livello di rete per le istanze EC2, offrendo un controllo granulare. Una funzione AWS Lambda può quindi essere invocata da EventBridge per aggiungere dinamicamente una regola alla policy di Network Firewall, bloccando il traffico dall'istanza sospetta in modo efficiente e automatizzato. Le opzioni errate presentano le seguenti problematiche: L'opzione con Amazon Kinesis Data Analytics è eccessivamente complessa e non è la soluzione più diretta per bloccare il traffico. Le Network ACL non sono ideali per bloccare il traffico da una singola istanza specifica in modo dinamico e automatizzato. L'opzione con AWS WAF non è adatta per bloccare il traffico RDP (livello 4) da un'istanza EC2, poiché WAF opera a livello di applicazione (livello 7) e protegge le applicazioni web. L'opzione di sostituire il security group tramite Lambda è rischiosa, poiché potrebbe interrompere servizi legittimi e non è l'approccio più preciso per bloccare solo il traffico RDP in entrata/uscita dalla sorgente dell'attacco.