Omnix Health, GuardDuty'nin EC2 güvenliğinin ihlal edildiğine dair bulgular (findings) ortaya çıkarması durumunda otomatik bir sınırlama (containment) isterken, uzaktan adli erişimi de sürdürmek istiyor. SOC, etkilenen örneklerin (instances) karantinaya alınmasını, Systems Manager dışındaki tüm harici trafiğin engellenmesini ve kanıt için EBS anlık görüntülerinin (snapshots) oluşturulmasını talep ediyor. Hangi çözüm gereksinimi en iyi şekilde karşılar?

Doğru cevap, GuardDuty bulgularını tetikleyici olarak kullanan bir EventBridge kuralı oluşturmayı, ardından bir Lambda işlevini çağırarak etkilenen EC2 örneğinin güvenlik grubunu kısıtlamayı ve EBS anlık görüntüleri oluşturmayı içerir. Bu yaklaşım, uzaktan adli erişimi sürdürürken (Systems Manager aracılığıyla) karantina ve kanıt toplama gereksinimlerini karşılar. Yanlış seçenekler: CloudWatch CPU alarmı, güvenlik ihlali yerine performans sorunlarını izler ve adli erişimi veya karantinayı doğrudan ele almaz. RunInstances üzerindeki bir EventBridge kuralı, yeni örnek başlatmalarını hedefler, mevcut ihlal edilmiş örnekleri değil. Ayrıca, örnek profilini kaldırmak adli erişimi engeller. GuardDuty'nin yerleşik karantina eylemi yoktur; bu tür otomatik yanıtlar için genellikle EventBridge ve Lambda gibi diğer AWS hizmetleriyle entegrasyon gerekir.