Os funcionários têm permissões AWS limitadas, mas os engenheiros de DevOps podem assumir uma função de administrador. A equipe de segurança precisa de notificações quase em tempo real sempre que a função de administrador for assumida. O que deve ser implementado?

A opção correta é criar uma regra do Amazon EventBridge que corresponda ao evento da API CloudTrail para AssumeRole, invocando uma função AWS Lambda para publicar uma mensagem em um tópico do Amazon SNS. O CloudTrail registra todas as chamadas de API, incluindo AssumeRole, e o EventBridge pode filtrar esses eventos em tempo quase real. A Lambda permite lógica personalizada para verificar se a função assumida é a de administrador e, em seguida, o SNS garante a notificação imediata à equipe de segurança. As outras opções são menos eficazes ou inadequadas para notificações em tempo quase real: AWS Config e Amazon Athena são para auditoria e análise retrospectiva, não para notificações imediatas. Amazon GuardDuty foca em detecção de ameaças e atividades anômalas, não em eventos específicos de AssumeRole para uma função conhecida. Uma regra do EventBridge para logins do console não captura todas as invocações de AssumeRole, que podem ocorrer via CLI ou SDK.