検知結果の種類に応じた自動対応

正解は イ です。 EventBridgeのルールの イベントパターン で、検知結果の 種類(type)や重要度 を条件にして、処理を振り分けます。 全ての結果で終了すると、誤検知で業務が止まり、証拠も失う。 種類ごとに適切な自動対応と通知を行える。 人に頼るため、対応が遅れる。 遅く、仕組みも複雑になる。

GuardDutyの検知結果のうち、EC2の暗号資産の採掘(CryptoCurrency:EC2/…)だけは自動でインスタンスを隔離し、ほかの検知結果は担当者に通知したい。

最も適切なものを1つ選択してください。

出典AWS非公式・オリジナル問題
ア
GuardDutyのすべての検知結果で、インスタンスを自動で終了するLambdaを起動する
イ
種類で絞ったEventBridgeのルールで、隔離と通知に振り分ける
ウ
Security Hubのダッシュボードを担当者が常に見て、採掘の結果を見つけたら隔離する
エ
GuardDutyの検知結果をS3に出力し、1時間ごとのバッチで種類を判定して処理する