Een bedrijf draait workloads op honderden Amazon EC2-instances. Na een recent incident waarbij malware draaide totdat de instance handmatig werd beëindigd, heeft het bedrijf Amazon GuardDuty ingeschakeld om malware op EC2 te detecteren. De security engineer moet de respons automatiseren wanneer GuardDuty een instance als geïnfecteerd markeert, om het incident te beperken in overeenstemming met de AWS Well-Architected Framework-richtlijnen voor incidentrespons. Welke oplossing voldoet aan deze vereisten?

De juiste oplossing is het aanroepen van een AWS Lambda-functie bij een GuardDuty-bevinding om EBS-volumes los te koppelen, te taggen en de instance te beëindigen. Dit isoleert de malware onmiddellijk door de instance te stoppen en de opslag te bewaren voor forensisch onderzoek, wat cruciaal is voor incidentrespons. Het verwijderen van netwerkadapters (optie 1) of ENI's (optie 2) kan de communicatie van de malware stoppen, maar laat de geïnfecteerde instance draaien, wat een risico vormt. Het verplaatsen van de instance naar een geïsoleerde VPC (optie 4) is een goede stap, maar beëindigt de dreiging niet direct en kan complexer zijn dan nodig voor snelle mitigatie.