A equipe de resposta a incidentes da ApexRetail descobriu que a chave gerenciada pelo cliente KMS da equipe de Segurança foi desabilitada às 03:14 UTC. A empresa possui um CloudTrail em nível de organização que entrega todos os eventos de gerenciamento para um bucket S3. Eles devem determinar rapidamente qual usuário federado realizou a chamada de API DisableKey, o IP de origem e se o MFA foi usado. Qual é a abordagem mais eficiente usando os dados de log existentes?

A abordagem mais eficiente é consultar os logs do CloudTrail no S3 usando o Amazon Athena. O CloudTrail já entrega os logs para um bucket S3, e o Athena permite consultar esses logs diretamente com SQL padrão, sem a necessidade de carregar dados ou gerenciar infraestrutura. Filtrar por eventName='DisableKey' e selecionar os campos userIdentity.sessionContext.sessionIssuer.arn (para o usuário federado), sourceIPAddress e userIdentity.sessionContext.attributes.mfaAuthenticated (para o status do MFA) fornecerá as informações necessárias de forma rápida. O Amazon Detective é útil para investigação de segurança, mas pode não ter todos os detalhes específicos ou ser a ferramenta mais direta para esta consulta pontual. O CloudTrail Lake seria uma boa opção para futuras análises, mas requer a criação de um armazenamento de dados e não ajudaria a consultar eventos passados já no S3. O AWS Config não é a ferramenta apropriada para consultar eventos de API do CloudTrail; ele foca em configurações de recursos.