Компания запускает рабочие нагрузки на сотнях инстансов Amazon EC2. После недавнего инцидента, когда вредоносное ПО работало до тех пор, пока инстанс не был вручную остановлен, компания включила Amazon GuardDuty для обнаружения вредоносного ПО на EC2. Инженер по безопасности должен автоматизировать реагирование, когда GuardDuty помечает инстанс как зараженный, чтобы смягчить инцидент в соответствии с рекомендациями AWS Well-Architected Framework по реагированию на инциденты. Какое решение соответствует этим требованиям?

Правильный ответ — отсоединить тома EBS, пометить их тегом Infected и завершить инстанс. Это соответствует рекомендациям AWS Well-Architected Framework по реагированию на инциденты, изолируя потенциально зараженные данные (тома EBS) для дальнейшего анализа, предотвращая распространение вредоносного ПО и останавливая его выполнение. Использование AWS Lambda, запускаемой GuardDuty, обеспечивает автоматизацию. Остальные варианты менее эффективны: Удаление сетевых адаптеров (вариант 1) или эластичных сетевых интерфейсов (вариант 2) изолирует инстанс, но не останавливает выполнение вредоносного ПО, которое может продолжать работать локально и потенциально повредить данные на прикрепленных томах EBS. Перемещение инстанса в изолированный VPC (вариант 4) также изолирует его, но не останавливает выполнение вредоносного ПО и не защищает данные на прикрепленных томах EBS.