ある企業は、Amazon GuardDutyの検出結果をトリガーとして、侵害されたEC2インスタンスに対するフォレンジック調査準備プロセスを完全自動化したいと考えています。要件は、(1) 検出から5分以内にEBSボリュームのスナップショットを取得する、(2) スナップショットをフォレンジック専用の隔離AWSアカウントへコピーする、(3) 侵害インスタンスに「forensics-quarantine」タグを付与して隔離セキュリティグループへ変更する、という一連の処理の完全自動化です。このワークフローに最も適したアーキテクチャはどれですか？
GuardDutyの検出結果を自動インシデント対応ワークフローへ連携する標準パターンは「GuardDuty → EventBridge → SSM Automation」です。Amazon EventBridgeはGuardDutyの検出結果を重大度・検出タイプ・リソースタイプ等で詳細フィルタリングしてSSM Automationドキュメントをトリガーできます。SSM Automationドキュメントは複数ステップを順次または並列実行でき、EC2 APIによるスナップショット取得、AssumeRoleを利用したクロスアカウントコピー、セキュリティグループ変更を一連の自動化として実装できます。 選択肢A の SNS 通知は人手介在が必要なため「5分以内」の要件を満たせません。 選択肢C の AWS Config はEC2のパブリックIP設定のコンプライアンス検知向けであり、GuardDuty検出結果のトリガーやスナップショット取得・クロスアカウントコピーの機能はありません。 選択肢D の Security Hub カスタムアクションは手動トリガーのため完全自動化の要件を満たしません。