한 회사에서 수백 개의 Amazon EC2 인스턴스에서 워크로드를 실행하고 있습니다. 최근 인스턴스가 수동으로 종료될 때까지 맬웨어가 실행된 사고가 발생한 후, 회사는 EC2에서 맬웨어를 탐지하기 위해 Amazon GuardDuty를 활성화했습니다. 보안 엔지니어는 AWS Well-Architected Framework의 인시던트 대응 지침에 따라 GuardDuty가 인스턴스를 감염된 것으로 플래그 지정할 때 대응을 자동화하여 인시던트를 완화해야 합니다. 다음 중 이러한 요구 사항을 충족하는 솔루션은 무엇입니까?

정답은 AWS Well-Architected Framework의 인시던트 대응 지침에 따라 감염된 인스턴스를 격리하고 추가 확산을 방지하는 가장 효과적인 방법이기 때문입니다. EBS 볼륨을 분리하고 인스턴스를 종료하면 맬웨어가 다른 리소스에 영향을 미치거나 데이터를 유출하는 것을 즉시 중단할 수 있습니다. 볼륨에 태그를 지정하면 사후 분석 및 포렌식을 위해 감염된 데이터를 식별할 수 있습니다. 다른 옵션들은 다음과 같은 이유로 최적이 아닙니다. 네트워크 어댑터를 제거하는 것은 맬웨어 프로세스를 중지하지 못할 수 있으며, 인스턴스가 여전히 실행 중이므로 다른 방식으로 손상될 수 있습니다. 탄력적 네트워크 인터페이스를 삭제하는 것은 인스턴스를 즉시 종료하는 것보다 덜 효과적이며, 인스턴스가 여전히 실행 중일 수 있습니다. 인스턴스를 격리된 VPC로 이동하고 deny-all 보안 그룹을 연결하는 것은 좋은 단계이지만, 맬웨어 프로세스가 여전히 인스턴스 내에서 실행되어 내부 리소스에 영향을 미치거나 추가 손상을 일으킬 수 있으므로 인스턴스를 종료하는 것만큼 즉각적이고 완전한 완화책은 아닙니다.