解説

ECS Fargate では awsvpc ネットワークモードにより各タスクに専用の ENI が割り当てられます。その ENI に関連付けられたセキュリティグループのルールをインバウンド・アウトバウンドともに全通信拒否に変更することで、侵害されたタスクのみをネットワーク的に隔離できます。同一サブネット上の正常タスクはそれぞれ独立した ENI を持つため影響を受けません。 隔離後は VPC Flow Logs でC2サーバーとの通信履歴を確認し、CloudWatch Logs に出力されたコンテナのアプリケーションログからマルウェアの動作証拠を保全して調査に活用できます。タスクを停止せずに稼働状態を維持することでランタイムの状態も保全されます。 選択肢AのECS サービスの desired count 0 への変更は正常タスクも含めてサービス全体を停止させます。ランタイム状態が消失し、証拠保全前にタスクを停止することになるため適切ではありません。 選択肢Bのネットワーク ACL はサブネット単位の制御であるため、侵害タスクだけでなく同一サブネット上で稼働するすべての正常タスクへの通信も遮断されてしまいます。 選択肢DのIAM タスクロールへの拒否ポリシーは AWS API アクセスを制限できますが、インターネット上のC2サーバーへのネットワーク通信は遮断できません。また権限を剥奪した後に ECS Exec を使用しようとすると接続に必要な SSM セッションの IAM 権限も失われるため接続が不可能になります。