Een bedrijf heeft Amazon GuardDuty ingeschakeld en wil de respons op potentiële bedreigingen automatiseren, te beginnen met RDP brute-force aanvallen afkomstig van Amazon EC2-instances in zijn omgeving. Het doel is om verkeer van een verdachte instance te blokkeren totdat het onderzoek en de herstelwerkzaamheden zijn voltooid. Welke oplossing voldoet aan deze vereisten?

De correcte optie gebruikt AWS Security Hub om GuardDuty-bevindingen te aggregeren en via EventBridge te routeren, wat een standaardpraktijk is voor gecentraliseerd beveiligingsbeheer. AWS Network Firewall is de meest geschikte service voor het blokkeren van verkeer op netwerkniveau voor EC2-instances, omdat het verkeer van en naar de verdachte instance effectief kan isoleren. Een Lambda-functie kan de Network Firewall dynamisch bijwerken met een regel om het verdachte verkeer te blokkeren. De andere opties zijn minder optimaal: Kinesis Data Streams en Kinesis Data Analytics zijn complexer voor dit specifieke doel en netwerk-ACL's zijn statelezer en minder flexibel dan een firewall voor dynamische blokkering. AWS WAF is primair ontworpen voor webapplicaties en niet voor algemeen RDP-verkeer naar EC2-instances. Het vervangen van security groups via Lambda is een optie, maar kan verstoringen veroorzaken en is minder granulair dan een firewallregel, die specifiek verkeer kan blokkeren zonder de hele security group te wijzigen.