Een security engineer bouwt een Amazon EC2-isolatieprocedure voor incidentrespons. Het doel is om al het inkomende en uitgaande verkeer naar een doelinstantie te blokkeren, behalve toegang door het forensisch team. Elke instantie heeft zijn eigen security group en meerdere instanties delen hetzelfde subnet. Tijdens het testen opent de engineer een SSH-sessie naar het doel, verwijdert vervolgens bestaande security group-regels en voegt regels toe om het forensisch team toegang te geven op poort 22. De bestaande SSH-sessie blijft actief, hoewel ICMP naar het publieke IP is geblokkeerd. Wat moet de engineer doen om de instantie volledig te isoleren?

De bestaande SSH-sessie blijft actief omdat security group-regels stateful zijn; eenmaal tot stand gebrachte verbindingen worden niet verbroken door het verwijderen van regels. Om de instantie volledig te isoleren, moet de SSH-sessie worden beëindigd. Het verwijderen van de poort 22-regel en het gebruik van AWS Systems Manager Session Manager (SSM) is de meest effectieve methode. SSM maakt verbindingen mogelijk zonder openbare poorten te vereisen en werkt via de AWS API, waardoor het niet afhankelijk is van security group-regels voor toegang. De andere opties zijn minder effectief: Het toevoegen en verwijderen van 0.0.0.0/0 allow-regels is onnodig en kan kortstondig ongewenste toegang creëren. Een netwerk-ACL blokkeert verkeer op subnetniveau, maar kan bestaande verbindingen niet verbreken en vereist zorgvuldige configuratie om forensische toegang te behouden. Host-gebaseerde firewallregels zijn effectief, maar SSM biedt een gecentraliseerde, veilige en auditbare methode die beter aansluit bij incidentrespons in AWS.