Firma uruchamia obciążenia na setkach instancji Amazon EC2. Po niedawnym incydencie, w którym złośliwe oprogramowanie działało, dopóki instancja nie została ręcznie zakończona, firma włączyła Amazon GuardDuty do wykrywania złośliwego oprogramowania na EC2. Inżynier bezpieczeństwa musi zautomatyzować reakcję, gdy GuardDuty oznaczy instancję jako zainfekowaną, aby złagodzić incydent zgodnie z wytycznymi AWS Well-Architected Framework dotyczącymi reagowania na incydenty. Które rozwiązanie spełnia te wymagania?

Poprawna odpowiedź automatyzuje izolację i zakończenie zainfekowanej instancji, jednocześnie zachowując dane do analizy kryminalistycznej. Odłączenie woluminów EBS uniemożliwia dalsze rozprzestrzenianie się złośliwego oprogramowania i pozwala na ich późniejszą analizę. Zakończenie instancji zatrzymuje aktywność złośliwego oprogramowania. Użycie funkcji Lambda wyzwalanej przez GuardDuty jest zgodne z wytycznymi AWS Well-Architected Framework dotyczącymi automatyzacji reagowania na incydenty. Pozostałe opcje są mniej skuteczne: Usunięcie kart sieciowych za pomocą Run Command może być niewystarczające, jeśli złośliwe oprogramowanie działa w pamięci lub ma inne mechanizmy przetrwania. Usunięcie elastycznych interfejsów sieciowych (ENI) jest podobne do usunięcia kart sieciowych i może nie zatrzymać wszystkich działań złośliwego oprogramowania. Przeniesienie instancji do izolowanej VPC i zastosowanie grupy bezpieczeństwa deny-all jest dobrym krokiem izolacyjnym, ale nie rozwiązuje problemu aktywnego złośliwego oprogramowania na instancji i nie zapewnia automatycznego zakończenia.