Вспышка вредоносного ПО затронула несколько инстансов Amazon EC2. Ключевым индикатором является исходящий трафик по TCP-порту 2905 к интернет-хостам управления и контроля. Правило сетевого ACL было развернуто для запрета этого исходящего трафика на уровне подсети. Инженер по безопасности должен определить, какие инстансы EC2 пытаются установить соединения по TCP-порту 2905. Какой вариант позволит идентифицировать затронутые инстансы с наименьшими операционными усилиями?

Правильный ответ — включить VPC Flow Logs, настроенные на захват отклоненного трафика, и искать записи REJECT с целевым TCP-портом 2905. Это наиболее эффективный способ выявления инстансов, пытающихся установить заблокированные соединения. VPC Flow Logs записывают информацию о IP-трафике, проходящем через сетевые интерфейсы, включая статус ACCEPT или REJECT. Фильтрация по REJECT и порту 2905 напрямую покажет, какие инстансы пытались использовать этот порт после развертывания правила NACL. Создание Network Access Scope в Network Access Analyzer не поможет, так как этот инструмент анализирует потенциальную доступность сети, а не фактические попытки подключения. GuardDuty и Detective могут быть полезны для обнаружения угроз, но для идентификации инстансов, пытающихся установить конкретное заблокированное соединение, Flow Logs более прямолинейны и требуют меньше операционных усилий. Развертывание AWS Network Firewall — это решение для предотвращения и логирования трафика на уровне VPC, но оно требует дополнительных усилий по развертыванию и настройке, тогда как Flow Logs уже доступны для анализа существующего отклоненного трафика.