Omnix Health wil automatische containment wanneer GuardDuty EC2-compromisbevindingen genereert, met behoud van externe forensische toegang. Het SOC vereist dat getroffen instances in quarantaine worden geplaatst om al het externe verkeer te blokkeren, behalve Systems Manager, en dat EBS-snapshots worden gemaakt voor bewijsmateriaal. Welke oplossing voldoet het beste aan de vereisten?

Deze oplossing voldoet het beste aan de vereisten omdat het GuardDuty-bevindingen gebruikt om automatisch te reageren. Een EventBridge-regel detecteert de specifieke GuardDuty EC2-compromisbevindingen. De getriggerde Lambda-functie isoleert de getroffen instance door de security groups te vervangen door een quarantaine-SG die alleen toegang via Systems Manager (SSM) toestaat voor forensisch onderzoek, zoals vereist. Het maken van EBS-snapshots zorgt voor het bewaren van bewijsmateriaal, en de SNS-melding informeert het SOC. De andere opties zijn minder geschikt: Een CloudWatch-alarm op CPU-gebruik is geen betrouwbare indicator voor een compromis en het stoppen van de instance en het loskoppelen van volumes verhindert forensisch onderzoek. Het verwijderen van het instance profile via CloudTrail bij RunInstances is geen quarantainemaatregel en voorkomt geen bestaande compromittering. GuardDuty heeft geen ingebouwde quarantaineactie die voldoet aan deze specifieke vereisten voor forensische toegang en aangepaste snapshotting.