Amazon GuardDutyがEC2インスタンスから既知のC&C（コマンド&コントロール）サーバーへの通信を検出しました。セキュリティチームはフォレンジック証拠を保全しながら影響を受けたインスタンスを自動隔離したいと考えています。最も自動化度が高く運用負荷の低い方法はどれですか？
正解： EventBridgeルールでGuardDutyのHigh severity findingを検出しAWS Step Functionsワークフローを起動して、EBSスナップショット作成→セキュリティグループを隔離用グループに変更→セキュリティチームへSNS通知の順に自動実行する。 Step Functions ワークフローは EventBridge で自動起動でき、フォレンジック保全（EBS スナップショット）と隔離（セキュリティグループ変更）を順序制御しながら実行できます。インスタンスを終了せずに証拠を保全する点が「フォレンジック証拠を保全しながら隔離」という要件に合致します。 選択肢Aは、カスタムリストや SNS 通知で精度向上を図っても最終的な調査・隔離はオペレーターの手動対応に依存するため、「最も自動化度が高く運用負荷の低い方法」という要件を満たしません。 選択肢Cは、Security Hub の自動応答と修復機能はカスタマイズ性が低く、EBS スナップショット作成→セキュリティグループ変更→SNS 通知のような複数ステップの厳密な順序制御には不向きです。 選択肢Dは、GuardDuty Malware Protection は EBS ボリュームのマルウェアスキャン機能であり、インスタンスの自動終了機能は持ちません。またインスタンスを終了するとメモリ上のフォレンジック証拠を失い、「フォレンジック証拠を保全しながら隔離」という要件に反します。