GuardDuty rapporteert verdacht uitgaand netwerkverkeer van een EC2-instance en identificeert een onbekend extern IP-adres als bestemming. De beheerder moet onmiddellijk verkeer naar dat externe IP voorkomen. Welke actie zal dit bewerkstelligen?

Een netwerk-ACL (Access Control List) werkt op subnetniveau en kan zowel inkomend als uitgaand verkeer expliciet toestaan of weigeren. Door een uitgaande deny-regel toe te voegen voor het specifieke externe IP-adres, wordt al het verkeer van elke instantie in dat subnet naar dat IP-adres onmiddellijk geblokkeerd. Security groups werken op instantiatieniveau en laten standaard al het uitgaande verkeer toe, tenzij expliciet geweigerd. Het aanpassen van een security group om uitgaand verkeer te blokkeren, is complexer en minder direct dan een netwerk-ACL voor een specifiek IP. VPC flow logs analyseren is nuttig voor onderzoek, maar blokkeert geen verkeer. Een security group op VPC-niveau bestaat niet; security groups worden aan instanties gekoppeld.