Das Incident-Response-Team von ApexRetail stellte fest, dass der vom Sicherheitsteam verwaltete KMS-Schlüssel um 03:14 UTC deaktiviert wurde. Das Unternehmen verfügt über ein organisationsweites CloudTrail, das alle Verwaltungsereignisse an einen S3-Bucket liefert. Sie müssen schnell feststellen, welcher föderierte Benutzer den API-Aufruf DisableKey durchgeführt hat, die Quell-IP und ob MFA verwendet wurde. Was ist der effizienteste Ansatz unter Verwendung vorhandener Protokolldaten?

Die effizienteste Methode zur Analyse historischer CloudTrail-Protokolle, die in S3 gespeichert sind, ist die Verwendung von Amazon Athena. Athena ermöglicht das Abfragen von Daten direkt in S3 mit Standard-SQL. Durch das Erstellen einer Athena-Tabelle über die CloudTrail-Protokolle können Sie gezielt nach dem DisableKey-Ereignis filtern und die benötigten Informationen wie den ARN des föderierten Benutzers (userIdentity.sessionContext.sessionIssuer.arn), die Quell-IP-Adresse (sourceIPAddress) und den MFA-Status (userIdentity.sessionContext.attributes.mfaAuthenticated) extrahieren. Amazon Detective ist zwar nützlich für die Sicherheitsanalyse, konzentriert sich aber auf Verhaltensanalysen und Anomalieerkennung und ist möglicherweise nicht der schnellste Weg, um spezifische historische API-Aufrufe zu finden. CloudTrail Lake ist für die Aufnahme und Abfrage zukünftiger Ereignisse konzipiert, nicht für bereits vorhandene Protokolle in S3. AWS Config Advanced Queries sind für die Abfrage von Konfigurationsmetadaten von AWS-Ressourcen gedacht, nicht für die Analyse von API-Aufrufereignissen aus CloudTrail-Protokollen.