Een bedrijf test procedures voor incidentrespons voor destination containment. Het bedrijf moet een kritieke Amazon EC2-instance onmiddellijk isoleren terwijl deze actief blijft. De instance is de enige resource in zijn publieke subnet en heeft actieve verbindingen met andere resources. Welke oplossing zal de instance onmiddellijk isoleren?

Door een nieuwe netwerk-ACL (NACL) te maken met een 'Deny all' regel voor inkomend en uitgaand verkeer en deze te koppelen aan het subnet, wordt al het netwerkverkeer van en naar de EC2-instance onmiddellijk geblokkeerd. Dit isoleert de instance effectief terwijl deze actief blijft, wat cruciaal is voor forensisch onderzoek. Security groups (opties 1 en 2) zijn stateful en controleren verkeer op instanceniveau; het aanpassen ervan kan verbindingen verbreken, maar een NACL is stateless en werkt op subnetniveau, waardoor het een snellere en bredere isolatie biedt voor alle resources in het subnet. Optie 4 is te omslachtig, vereist het stoppen van de instance en is niet onmiddellijk.