Un ingegnere della sicurezza sta creando una procedura di isolamento di un'istanza Amazon EC2 per la risposta agli incidenti. L'obiettivo è bloccare tutto il traffico in entrata e in uscita verso un'istanza target, ad eccezione dell'accesso da parte del team forense. Ogni istanza ha il proprio security group e più istanze condividono la stessa sottorete. Durante i test, l'ingegnere apre una sessione SSH verso il target, quindi rimuove le regole del security group esistenti e aggiunge regole per consentire al team forense sulla porta 22. La sessione SSH esistente rimane attiva, sebbene l'ICMP verso l'IP pubblico sia bloccato. Cosa dovrebbe fare l'ingegnere per isolare completamente l'istanza?

La risposta corretta isola l'istanza e mantiene l'accesso forense. Rimuovere la regola del security group per la porta 22 blocca l'accesso SSH diretto, inclusa la sessione esistente (i security group sono stateful per le connessioni in uscita, ma le modifiche alle regole in entrata possono interrompere le sessioni esistenti se non c'è una regola corrispondente). L'utilizzo di AWS Systems Manager Session Manager con un ruolo IAM consente al team forense di accedere all'istanza senza aprire porte di rete, fornendo un accesso sicuro e controllato. L'opzione A non isola l'istanza e potrebbe esporla brevemente. L'opzione C bloccherebbe tutto il traffico a livello di sottorete, impedendo anche l'accesso forense tramite Session Manager, che richiede connettività ad AWS API. L'opzione D si basa su firewall basati sull'host, che sono meno affidabili per l'isolamento completo rispetto ai security group e alle Network ACL, e non fornisce un meccanismo di accesso forense.