Inżynier bezpieczeństwa tworzy procedurę izolacji instancji Amazon EC2 na potrzeby reagowania na incydenty. Celem jest zablokowanie całego ruchu przychodzącego i wychodzącego do instancji docelowej, z wyjątkiem dostępu zespołu dochodzeniowego. Każda instancja ma własną grupę bezpieczeństwa, a wiele instancji współdzieli tę samą podsieć. Podczas testowania inżynier otwiera sesję SSH do celu, a następnie usuwa istniejące reguły grupy bezpieczeństwa i dodaje reguły, aby zezwolić zespołowi dochodzeniowemu na port 22. Istniejąca sesja SSH pozostaje aktywna, chociaż ICMP do publicznego adresu IP jest zablokowany. Co powinien zrobić inżynier, aby w pełni odizolować instancję?

Poprawna odpowiedź to usunięcie reguły grupy bezpieczeństwa dla portu 22 i dołączenie polityki roli instancji zezwalającej na dostęp AWS Systems Manager Session Manager. Grupy bezpieczeństwa są stanowe, co oznacza, że istniejące połączenia (takie jak sesja SSH inżyniera) pozostają aktywne nawet po usunięciu reguł. Aby w pełni odizolować instancję, należy zakończyć wszystkie połączenia, co można osiągnąć poprzez usunięcie reguły zezwalającej na ruch SSH. Użycie Session Manager zapewnia bezpieczny dostęp do instancji bez otwierania portów w grupie bezpieczeństwa, co jest zgodne z zasadą najmniejszych uprawnień. Dodanie i natychmiastowe usunięcie reguł 0.0.0.0/0 nie gwarantuje izolacji, ponieważ istniejące połączenia mogą pozostać aktywne. Tworzenie listy kontroli dostępu do sieci (Network ACL) dla podsieci wpłynęłoby na wszystkie instancje w tej podsieci, co nie jest celem izolacji pojedynczej instancji. Użycie reguł zapory sieciowej opartej na hoście jest dobrym krokiem, ale nie zastępuje pełnej izolacji na poziomie grupy bezpieczeństwa i nie rozwiązuje problemu istniejących połączeń.