Firma testuje procedury reagowania na incydenty w celu izolacji docelowej. Firma musi natychmiastowo odizolować krytyczną instancję Amazon EC2, jednocześnie utrzymując ją w stanie działania. Instancja jest jedynym zasobem w swojej publicznej podsieci i ma aktywne połączenia z innymi zasobami. Które rozwiązanie natychmiastowo odizoluje instancję?

Poprawna odpowiedź to utworzenie nowej listy kontroli dostępu do sieci (Network ACL) z regułą Deny dla całego ruchu przychodzącego i wychodzącego, a następnie skojarzenie jej z podsiecią zawierającą instancję EC2. Network ACL działają na poziomie podsieci i są bezstanowe, co oznacza, że każda reguła jest oceniana niezależnie. Zastosowanie reguły Deny All natychmiast zablokuje cały ruch do i z podsieci, skutecznie izolując instancję, jednocześnie utrzymując ją w stanie działania. Pozostałe opcje są nieprawidłowe, ponieważ: Modyfikacja grup zabezpieczeń (Security Groups) lub tworzenie nowych i przypisywanie ich do instancji działa na poziomie instancji i jest stanowe. Chociaż może izolować instancję, Network ACL jest bardziej natychmiastowym i kompleksowym rozwiązaniem na poziomie podsieci. Tworzenie nowej VPC i przenoszenie instancji wymaga zatrzymania instancji, co jest sprzeczne z wymaganiem utrzymania jej w stanie działania.