SCS-C02#1(threat-detection)
セキュリティエンジニアは、Amazon GuardDuty を組織で初めて有効化しました。最初のスキャンで CryptoCurrency:EC2/BitcoinTool.B!DNS という検出結果が単一の本番 EC2 インスタンスから出力されています。エンジニアはこの検出結果に対して、フォレンジック証拠を保全しつつ、最小限の運用負荷で初期対応を実施したいと考えています。
どの対応が最も適切でしょうか。
正解：C
正解の根拠
CryptoCurrency 系の検出は、インスタンスがビットコインプール等と通信していることを示すマルウェア感染の強い兆候です。AWS のインシデント対応ベストプラクティスでは、揮発メモリと非揮発メモリを保全しつつ、インスタンスは稼働させたまま隔離 SG へ切り替え、EBS スナップショットを取得します。
不正解の理由
- A: 即時停止により揮発メモリが破棄されてしまい、フォレンジック証拠の重要部分を失う行為です。
- B: 抑制ルールは誤検知への対応手段であり、真の脅威に対して使用するのは不適切な運用判断です。
- D: Config は構成変更履歴の記録を主目的としており、マルウェア感染対応の主要手段にはなりません。
コメント