Bir şirket yüzlerce Amazon EC2 örneğinde iş yükleri çalıştırıyor. Kötü amaçlı yazılımın örnek manuel olarak sonlandırılana kadar çalıştığı yakın tarihli bir olaydan sonra, şirket EC2'de kötü amaçlı yazılımı tespit etmek için Amazon GuardDuty'yi etkinleştirdi. Güvenlik mühendisi, olay müdahalesi için AWS Well-Architected Framework rehberliğine uygun olarak olayı azaltmak amacıyla GuardDuty bir örneği enfekte olarak işaretlediğinde yanıtı otomatikleştirmelidir. Hangi çözüm bu gereksinimleri karşılar?

Doğru cevap, GuardDuty bulguları üzerinde bir AWS Lambda işlevi çağırarak tüm Amazon EBS birimlerini örnekten ayırmak, birimleri Infected olarak etiketlemek ve ardından örneği sonlandırmaktır. Bu yaklaşım, enfekte olmuş örneğin hemen izole edilmesini ve potansiyel kötü amaçlı yazılımın yayılmasını engellerken, adli analiz için EBS birimlerinin korunmasını sağlar. Diğer seçenekler neden uygun değildir: GuardDuty bulgusu tarafından tetiklenen bir AWS Systems Manager Run Command kullanarak örnek işletim sistemindeki tüm ağ bağdaştırıcılarını kaldırmak ve örneği Infected olarak etiketlemek: Bu, örneği izole eder ancak kötü amaçlı yazılımın örnek üzerinde çalışmaya devam etme riskini taşır ve adli analiz için yeterli değildir. GuardDuty bulguları üzerinde bir AWS Lambda işlevi çağırarak örneğe bağlı tüm elastic network interface'leri silmek ve örneği Infected olarak etiketlemek: Bu da örneği izole eder ancak kötü amaçlı yazılımın örnek üzerinde çalışmasını durdurmaz ve adli analiz için eksiktir. İzole edilmiş bir VPC ve deny-all güvenlik grubu oluşturmak. GuardDuty bulguları üzerinde bir AWS Lambda işlevi çağırarak örneği bu VPC'ye taşımak ve güvenlik grubunu eklemek: Bu, örneği izole eder ancak kötü amaçlı yazılımın örnek üzerinde çalışmaya devam etme riskini taşır ve örneğin sonlandırılmasını sağlamaz.