Ein Unternehmen vermutet, dass ein Angreifer eine Rolle mit übermäßigen Berechtigungen ausgenutzt hat, um Anmeldeinformationen aus Amazon EC2-Instanzmetadaten zu extrahieren. Das Unternehmen verwendet Amazon GuardDuty und AWS Audit Manager und hat die Protokollierung von AWS CloudTrail und Amazon CloudWatch für alle Konten aktiviert. Ein Sicherheitsingenieur muss feststellen, ob die gestohlenen Anmeldeinformationen von außerhalb der Unternehmenskonten verwendet wurden, um auf Unternehmensressourcen zuzugreifen. Welche Lösung liefert diese Informationen?

Die Überprüfung von GuardDuty-Ergebnissen auf InstanceCredentialExfiltration-Ereignisse ist die effektivste Methode. GuardDuty ist ein intelligenter Bedrohungserkennungsdienst, der kontinuierlich AWS-Konten und Workloads auf böswillige Aktivitäten und nicht autorisiertes Verhalten überwacht. Der Befundtyp InstanceCredentialExfiltration wurde speziell entwickelt, um zu erkennen, wenn temporäre AWS-Anmeldeinformationen, die von einer EC2-Instanz stammen, von einer externen IP-Adresse oder einem externen AWS-Konto verwendet werden. AWS Audit Manager ist ein Compliance-Dienst und liefert keine Echtzeit-Sicherheitsereignisse. CloudTrail- und CloudWatch-Protokolle können zwar API-Aufrufe aufzeichnen, aber die manuelle Korrelation und Analyse von GetSessionToken-Aufrufen, um externe Nutzung zu identifizieren, wäre wesentlich komplexer und weniger präzise als die spezifische Erkennung durch GuardDuty.