Omnix Healthは、GuardDutyがEC2の侵害に関する検出結果を生成した際に自動的な封じ込めを望んでいますが、リモートからのフォレンジックアクセスは維持したいと考えています。SOCは、影響を受けるインスタンスを隔離し、Systems Managerを除くすべての外部トラフィックをブロックすること、および証拠のためにEBSスナップショットを作成することを要求しています。この要件を最もよく満たすソリューションはどれですか？

このソリューションは、GuardDutyの検出結果に基づいて自動的な封じ込めとフォレンジックアクセス維持の要件を最もよく満たします。EventBridgeルールがGuardDutyの特定の検出タイプに反応し、Lambda関数をトリガーします。このLambda関数は、インスタンスのセキュリティグループを、Systems Manager (SSM) のVPCエンドポイントのみを許可する隔離用セキュリティグループに置き換えることで、外部からのアクセスをブロックしつつ、SOCがSSMを通じてリモートでインスタンスにアクセスできるようにします。さらに、EBSスナップショットを作成することで、証拠保全の要件も満たします。 CloudWatchアラームはCPUスパイクに反応するため、GuardDutyの検出結果に基づく封じ込めには適していません。インスタンスプロファイルの削除は、フォレンジックアクセスを妨げる可能性があります。GuardDutyには組み込みの隔離アクションはなく、カスタムコードが必要です。