맬웨어 확산으로 여러 Amazon EC2 인스턴스가 영향을 받았습니다. 주요 지표는 인터넷 기반 명령 및 제어 호스트로 향하는 TCP 포트 2905의 아웃바운드 트래픽입니다. 서브넷 수준에서 이 아웃바운드 트래픽을 거부하는 네트워크 ACL 규칙이 배포되었습니다. 보안 엔지니어는 TCP 포트 2905에서 연결을 시도하는 EC2 인스턴스를 식별해야 합니다. 운영 노력이 가장 적게 드는 방법으로 영향을 받는 인스턴스를 식별하는 옵션은 무엇입니까?

VPC 흐름 로그는 VPC의 네트워크 인터페이스를 오가는 IP 트래픽에 대한 정보를 캡처합니다. 네트워크 ACL이 트래픽을 거부했으므로, 흐름 로그는 REJECT 상태로 기록됩니다. TCP 포트 2905를 대상으로 하는 REJECT 레코드를 검색하면, 해당 포트로 통신을 시도한 EC2 인스턴스를 직접 식별할 수 있어 운영 노력이 가장 적습니다. Network Access Analyzer는 잠재적인 네트워크 경로를 분석하지만, 실제 발생한 트래픽을 식별하는 데는 적합하지 않습니다. GuardDuty는 위협 탐지에 유용하지만, 특정 거부된 포트 트래픽의 소스를 직접 식별하는 주된 도구는 아닙니다. Network Firewall은 트래픽을 검사하고 로깅할 수 있지만, 이미 네트워크 ACL이 트래픽을 거부하고 있으므로 추가적인 배포 및 구성은 불필요한 운영 오버헤드를 발생시킵니다.