Un'azienda sta testando le procedure di risposta agli incidenti per il contenimento della destinazione. L'azienda deve isolare immediatamente un'istanza Amazon EC2 critica mantenendola in esecuzione. L'istanza è l'unica risorsa nella sua sottorete pubblica e ha connessioni attive ad altre risorse. Quale soluzione conterrà immediatamente l'istanza?

La risposta corretta è creare una nuova ACL di rete con una singola regola Deny per tutto il traffico in entrata e in uscita e associarla alla sottorete che contiene l'istanza EC2. Questo isola immediatamente l'istanza a livello di sottorete, bloccando tutto il traffico da e verso di essa, pur mantenendola in esecuzione come richiesto. Le altre opzioni sono meno efficaci o non soddisfano i requisiti: Modificare il security group esistente o crearne uno nuovo senza regole in entrata/uscita potrebbe non bloccare le connessioni attive esistenti, che sono gestite a livello di security group. Le ACL di rete operano a livello di sottorete e sono stateless, il che significa che bloccano tutto il traffico, inclusi i pacchetti di risposta a connessioni già stabilite. Creare una nuova VPC e spostare l'istanza richiede di arrestare l'istanza e ricrearla, il che non soddisfa il requisito di mantenerla in esecuzione e di isolarla immediatamente.