개발 계정에서 Amazon EBS 스토리지를 사용하는 Linux 기반 Amazon EC2 인스턴스가 알려진 악성 IP 주소로 아웃바운드 연결을 시도하고 있습니다. VPC(us-east-1)에는 인터넷 게이트웨이와 두 개의 서브넷(us-east-1a 및 us-east-1b)이 있으며, 각 서브넷에는 인터넷 게이트웨이를 기본 경로로 사용하는 라우팅 테이블과 기본 네트워크 ACL이 있습니다. 의심스러운 인스턴스는 us-east-1b 서브넷의 유일한 인스턴스입니다. 인시던트를 즉시 격리하고 근본 원인 조사를 용이하게 하는 응답은 무엇입니까?

정답은 즉각적인 격리 및 조사를 위한 가장 효과적인 접근 방식입니다. 먼저 서브넷의 아웃바운드 네트워크 ACL을 업데이트하여 모든 이그레스를 명시적으로 거부함으로써 악성 통신을 즉시 중단합니다. 그런 다음 인스턴스의 보안 그룹을 진단 전용 보안 그룹으로 교체하여 조사자가 안전하게 접근하고 인스턴스는 다른 트래픽을 시작할 수 없도록 합니다. 이 단계 후에는 네트워크 ACL의 거부 규칙을 제거하여 진단 액세스를 허용합니다. 마지막으로, 진단 도구가 있는 새 인스턴스를 시작하고 이를 사용하여 의심스러운 인스턴스를 안전하게 조사합니다. 다른 옵션들은 다음과 같은 이유로 최적이 아닙니다. 첫 번째 오답은 인스턴스에 로그인하여 진단 도구를 설치하는 데 시간이 걸리므로 즉각적인 격리에 실패합니다. 또한 보안 그룹 규칙은 인스턴스 수준에서 작동하므로 서브넷 수준의 네트워크 ACL보다 덜 즉각적입니다. 세 번째 오답은 인스턴스를 종료하여 조사를 위해 중요한 런타임 데이터를 손실할 수 있습니다. 네 번째 오답은 AWS WAF가 EC2 인스턴스에 직접 연결되지 않고 Application Load Balancer 또는 CloudFront와 같은 리소스와 함께 사용되므로 부적절합니다. 또한 인스턴스에 로그인하여 도구를 설치하는 것은 즉각적인 격리 방법이 아닙니다.