Nadat een aanvaller een kwetsbaarheid in een applicatie op een internetgerichte EC2-instantie had misbruikt en malware via het internet had verspreid, heeft het bedrijf de app gerepareerd en de instantie vervangen. Het bedrijf heeft een oplossing nodig met lage operationele inspanningen die detecteert wanneer een applicatie die op een EC2-instantie is geïmplementeerd, malware verspreidt. Welke aanpak voldoet aan deze vereiste met de minste operationele overhead?

De juiste optie is het gebruik van Amazon GuardDuty. GuardDuty is een volledig beheerde bedreigingsdetectieservice die continu AWS-accounts en workloads monitort op kwaadaardige activiteiten en ongeautoriseerd gedrag. Het analyseert gegevensbronnen zoals VPC Flow Logs en DNS-logs om afwijkende patronen te identificeren die kunnen duiden op malwareverspreiding, zoals ongebruikelijke uitgaande DNS-verzoeken of verbindingen met bekende kwaadaardige IP-adressen. Dit vereist minimale operationele inspanning omdat het een beheerde service is. De andere opties zijn minder geschikt: GuardDuty gebruikt geen door AWS beheerde loksystemen met malwaresignaturen voor dit specifieke doel. Een Gateway Load Balancer met een IDS-appliance van AWS Marketplace zou een effectieve oplossing kunnen zijn, maar dit brengt aanzienlijk meer operationele overhead met zich mee voor implementatie, beheer en onderhoud van de appliance. Amazon Inspector is primair gericht op het scannen van kwetsbaarheden in EC2-instanties en applicaties, niet op deep packet inspection van uitgaand verkeer voor het detecteren van malwareverspreiding.