【SCS-C02 模擬】侵害されたEC2の不審な外部通信を検知し、自動で隔離するには？
本番環境のEC2が侵害され、外部の指令サーバーへ通信する事象に備えたいと考えています。脅威を自動検知し、人手を介さず該当インスタンスを隔離する仕組みを作ります。最も適切な構成はどれですか。
正解: A
脅威検知はGuardDuty(CloudTrail・VPCフローログ・DNSログを分析)が担い、検出結果はEventBridgeのイベントとして流れます。これをトリガーにLambdaやSSM Automationで隔離用セキュリティグループへ付け替えれば、自動的にインスタンスを隔離できます(オートリメディエーション)。Bは自動化されておらず対応が遅れます。CのWAFはWebアプリ層の保護でEC2の外向き通信検知には不適。Macieは機密データの発見が役割で脅威検知ではありません。