GuardDuty сообщает о подозрительном исходящем сетевом трафике с инстанса EC2 и определяет незнакомый внешний IP-адрес в качестве назначения. Администратору необходимо немедленно заблокировать трафик на этот внешний IP-адрес. Какое действие позволит это сделать?

Правильный ответ — создание или обновление сетевого ACL в подсети с правилом запрета исходящего трафика для внешнего IP-адреса. Сетевые ACL (NACL) работают на уровне подсети и являются безстатусными, что означает, что они проверяют как входящий, так и исходящий трафик независимо. Добавление правила DENY для конкретного IP-адреса немедленно заблокирует весь трафик на этот адрес из всех инстансов в подсети. Неправильные варианты: Создание новой группы безопасности и присоединение ее к инстансу EC2 не сработает, так как группы безопасности являются статусными и по умолчанию разрешают весь исходящий трафик, если нет явного правила DENY. Изменение правил исходящего трафика в существующей группе безопасности или создание новой может быть сложным и потенциально нарушить легитимный трафик. Анализ логов потоков VPC с помощью Amazon Athena — это инструмент для анализа, а не для немедленной блокировки трафика. Группы безопасности не могут быть применены на уровне VPC. Они применяются к инстансам EC2.