Wybuch złośliwego oprogramowania dotknął kilka instancji Amazon EC2. Kluczowym wskaźnikiem jest ruch wychodzący na porcie TCP 2905 do hostów dowodzenia i kontroli (command-and-control) w Internecie. Wdrożono regułę sieciowej listy kontroli dostępu (network ACL), aby zablokować ten ruch wychodzący na poziomie podsieci. Inżynier bezpieczeństwa musi zidentyfikować, które instancje EC2 próbują nawiązać połączenia na porcie TCP 2905. Która opcja zidentyfikuje dotknięte instancje przy najmniejszym wysiłku operacyjnym?

Włączenie dzienników przepływu VPC (VPC Flow Logs) skonfigurowanych do przechwytywania odrzuconego ruchu jest najbardziej efektywnym operacyjnie rozwiązaniem. Ponieważ reguła sieciowej listy kontroli dostępu (network ACL) blokuje ruch, dzienniki przepływu VPC zarejestrują te odrzucone połączenia, w tym adres IP źródła, port docelowy (TCP 2905) i status REJECT. Przeszukiwanie tych logów pozwoli szybko zidentyfikować instancje EC2 próbujące nawiązać połączenia. Tworzenie Network Access Scope w Network Access Analyzer jest przeznaczone do analizy potencjalnej dostępności sieci, a nie do identyfikacji faktycznych prób połączeń. Włączenie GuardDuty z niestandardową listą IP i użycie Detective wymagałoby dodatkowej konfiguracji i czasu na generowanie wyników, a także nie skupiałoby się bezpośrednio na odrzuconym ruchu przez ACL. Wdrożenie AWS Network Firewall jest rozwiązaniem do aktywnego filtrowania i logowania, ale jest bardziej złożone i wymaga większego wysiłku operacyjnego niż proste włączenie i analiza istniejących dzienników przepływu VPC.