Un'epidemia di malware ha colpito diverse istanze Amazon EC2. Un indicatore chiave è il traffico in uscita sulla porta TCP 2905 verso host di comando e controllo basati su internet. È stata implementata una regola ACL di rete per negare questo traffico in uscita a livello di sottorete. L'ingegnere della sicurezza deve identificare quali istanze EC2 stanno tentando connessioni sulla porta TCP 2905. Quale opzione identificherà le istanze interessate con il minor sforzo operativo?

L'opzione corretta è abilitare i VPC Flow Logs configurati per acquisire il traffico rifiutato e cercare i record REJECT con porta TCP di destinazione 2905. Questo è il metodo più efficiente perché i Flow Logs registrano tutte le connessioni di rete, incluse quelle bloccate da Network ACLs, fornendo direttamente le informazioni sulle istanze sorgente che tentano la connessione. Le altre opzioni sono meno efficienti o non direttamente applicabili: Network Access Analyzer è utile per analizzare la connettività di rete e identificare percorsi, ma non per monitorare il traffico in tempo reale o identificare istanze che tentano connessioni bloccate. Amazon GuardDuty rileva minacce e può utilizzare elenchi IP personalizzati, ma non fornisce un modo diretto per identificare le istanze che tentano connessioni bloccate da una Network ACL specifica. Amazon Detective aiuta nell'analisi forense ma richiede dati preesistenti. AWS Network Firewall è una soluzione di sicurezza per il filtraggio del traffico, ma distribuirla e configurarla per questo scopo specifico richiederebbe uno sforzo operativo maggiore rispetto all'analisi dei Flow Logs già esistenti o facilmente attivabili.