Omnix Health chce automatycznej izolacji, gdy GuardDuty zgłasza wykrycia kompromitacji EC2, jednocześnie zachowując zdalny dostęp do analizy kryminalistycznej. SOC wymaga, aby dotknięte instancje były poddane kwarantannie w celu zablokowania całego ruchu zewnętrznego z wyjątkiem Systems Manager, oraz aby tworzone były migawki EBS w celu zebrania dowodów. Które rozwiązanie najlepiej spełnia te wymagania?

To rozwiązanie jest najlepsze, ponieważ bezpośrednio odpowiada na wszystkie wymagania. Reguła EventBridge reaguje na wykrycia GuardDuty, uruchamiając funkcję Lambda. Funkcja Lambda zastępuje grupy bezpieczeństwa instancji grupą kwarantannową, która blokuje ruch zewnętrzny, jednocześnie zezwalając na dostęp Systems Manager (SSM) poprzez punkty końcowe VPC, co umożliwia zdalny dostęp do analizy kryminalistycznej. Dodatkowo, Lambda tworzy migawki EBS, zbierając dowody. Opcja z alarmem CloudWatch na CPU nie jest odpowiednia, ponieważ nie reaguje na wykrycia GuardDuty i zatrzymuje instancję, co utrudnia analizę. Konfiguracja EventBridge na RunInstances nie reaguje na wykrycia kompromitacji, a jedynie na uruchomienie instancji. Wbudowana akcja kwarantanny GuardDuty nie istnieje w formie, która automatycznie izoluje instancję w ten sposób i tworzy migawki bez niestandardowego kodu.