GuardDuty zgłasza podejrzany wychodzący ruch sieciowy z instancji EC2 i identyfikuje nieznany zewnętrzny adres IP jako cel. Administrator musi natychmiast zablokować ruch do tego zewnętrznego adresu IP. Które działanie to umożliwi?

Poprawna odpowiedź to utworzenie lub zaktualizowanie listy kontroli dostępu do sieci (Network ACL) w podsieci, aby dodać regułę odrzucającą (deny) ruch wychodzący dla zewnętrznego adresu IP. Network ACL działają na poziomie podsieci i są bezstanowe, co oznacza, że każda reguła jest oceniana niezależnie dla ruchu przychodzącego i wychodzącego. Umożliwia to natychmiastowe zablokowanie konkretnego ruchu wychodzącego do podejrzanego adresu IP. Inne opcje są mniej skuteczne lub nieodpowiednie: Utworzenie nowej grupy bezpieczeństwa i dołączenie jej do instancji EC2 nie zadziała, ponieważ grupy bezpieczeństwa są stanowe i domyślnie zezwalają na cały ruch wychodzący. Zmiana domyślnych reguł wychodzących w istniejącej grupie bezpieczeństwa mogłaby wpłynąć na inne instancje. Analiza logów przepływu VPC za pomocą Amazon Athena jest użyteczna do identyfikacji i analizy wzorców ruchu, ale nie blokuje ruchu natychmiastowo. Zastosowanie grupy bezpieczeństwa na poziomie VPC jest nieprawidłowe, ponieważ grupy bezpieczeństwa działają na poziomie instancji, a nie VPC.