Firma włączyła Amazon GuardDuty i chce zautomatyzować reagowanie na potencjalne zagrożenia, zaczynając od ataków brute-force RDP pochodzących z instancji Amazon EC2 w swoim środowisku. Celem jest zablokowanie ruchu z podejrzanej instancji do czasu zakończenia dochodzenia i usunięcia problemu. Które rozwiązanie spełnia te wymagania?

Poprawna odpowiedź wykorzystuje AWS Security Hub do agregacji wyników GuardDuty, co jest dobrą praktyką zarządzania bezpieczeństwem. Następnie Security Hub kieruje zdarzenia do Amazon EventBridge, który jest idealnym narzędziem do orkiestracji bezserwerowych przepływów pracy. Funkcja AWS Lambda jest wyzwalana przez EventBridge i modyfikuje politykę AWS Network Firewall, aby zablokować ruch. AWS Network Firewall jest odpowiednim rozwiązaniem do centralnego blokowania ruchu sieciowego na poziomie VPC. Pozostałe opcje są mniej efektywne lub nieodpowiednie: Opcja z Kinesis Data Analytics jest zbyt złożona i kosztowna do prostego blokowania ruchu. Opcja z AWS WAF jest przeznaczona głównie do ochrony aplikacji webowych, a nie do blokowania ruchu RDP na poziomie instancji EC2. Opcja z zastępowaniem grupy zabezpieczeń przez Lambda może prowadzić do nieprzewidzianych problemów z łącznością i jest mniej precyzyjna niż modyfikacja polityki Network Firewall.