Omnix Health требуется автоматическая изоляция при обнаружении GuardDuty компрометации EC2, при этом необходимо сохранить удаленный доступ для судебной экспертизы. SOC требует, чтобы затронутые инстансы были помещены в карантин для блокировки всего внешнего трафика, кроме Systems Manager, и чтобы для сбора доказательств были созданы снимки EBS. Какое решение наилучшим образом соответствует этим требованиям?

Правильный ответ соответствует всем требованиям: EventBridge реагирует на обнаружения GuardDuty, Lambda изолирует инстанс, заменяя группу безопасности на карантинную, разрешающую доступ только через Systems Manager (SSM/SSMMessages/EC2Messages VPC endpoints), что сохраняет удаленный доступ для судебной экспертизы. Lambda также создает снимки EBS для сбора доказательств и уведомляет по SNS. Неправильные варианты: Оповещение CloudWatch по загрузке ЦП не является надежным индикатором компрометации и не соответствует требованию GuardDuty. Остановка инстанса и отключение томов затруднит судебную экспертизу. Удаление профиля инстанса при RunInstances не является механизмом реагирования на компрометацию GuardDuty и не обеспечивает контролируемый карантин с доступом для экспертизы. GuardDuty не имеет встроенного действия по карантину или автоматическому созданию снимков EBS; для этого требуется пользовательская автоматизация.