Инженер по безопасности разрабатывает процедуру изоляции инстансов Amazon EC2 для реагирования на инциденты. Цель состоит в том, чтобы заблокировать весь входящий и исходящий трафик к целевому инстансу, за исключением доступа команды криминалистов. Каждый инстанс имеет свою собственную группу безопасности, и несколько инстансов используют одну и ту же подсеть. Во время тестирования инженер открывает SSH-сессию к цели, затем удаляет существующие правила группы безопасности и добавляет правила, разрешающие доступ команде криминалистов по порту 22. Существующая SSH-сессия остается активной, хотя ICMP к публичному IP-адресу заблокирован. Что должен сделать инженер, чтобы полностью изолировать инстанс?

Правильный ответ заключается в удалении правила группы безопасности для порта 22 и использовании AWS Systems Manager Session Manager. SSH-сессия остается активной, потому что правила группы безопасности применяются к новым соединениям, а не к уже установленным. Удаление правила для порта 22 заблокирует новые SSH-соединения. Systems Manager Session Manager позволяет команде криминалистов получить доступ к инстансу без использования входящих портов, что обеспечивает полную изоляцию от внешнего трафика, сохраняя при этом возможность расследования. Неправильные варианты: Добавление и немедленное удаление правил 0.0.0.0/0 не гарантирует полной изоляции и может создать краткосрочную уязвимость. Сетевые ACL (NACL) применяются на уровне подсети и затрагивают все инстансы в ней, что не соответствует требованию изоляции целевого инстанса. Изменение правил хостового брандмауэра на самом инстансе не является предпочтительным методом изоляции на уровне AWS и может быть обойдено или быть неэффективным, если злоумышленник уже имеет доступ.