Uma empresa suspeita que um invasor explorou uma função excessivamente permissiva para extrair credenciais dos metadados de uma instância Amazon EC2. A empresa usa Amazon GuardDuty e AWS Audit Manager, e tem o registro de logs do AWS CloudTrail e Amazon CloudWatch habilitado em todas as contas. Um engenheiro de segurança deve determinar se as credenciais roubadas foram usadas de fora das contas da empresa para acessar os recursos da empresa. Qual solução fornece essa informação?

A revisão dos achados do GuardDuty para eventos InstanceCredentialExfiltration é a solução mais eficaz. O GuardDuty é um serviço de detecção de ameaças que monitora continuamente as contas AWS em busca de atividades maliciosas e comportamentos não autorizados. O tipo de achado InstanceCredentialExfiltration é especificamente projetado para identificar quando credenciais de instâncias EC2 são exfiltradas e usadas de forma incomum ou de fora do ambiente esperado. As outras opções são menos diretas: O AWS Audit Manager ajuda a gerenciar auditorias e conformidade, mas não detecta ameaças em tempo real como o GuardDuty. Examinar logs do CloudTrail ou CloudWatch para chamadas GetSessionToken pode ser útil para investigar o uso de credenciais, mas exigiria uma análise manual extensa e não forneceria a detecção automatizada de exfiltração que o GuardDuty oferece. Além disso, o GuardDuty já integra e analisa esses logs para gerar achados relevantes.