Mitarbeiter haben eingeschränkte AWS-Berechtigungen, aber DevOps-Ingenieure können eine Administratorrolle annehmen. Das Sicherheitsteam benötigt nahezu Echtzeit-Benachrichtigungen, wann immer die Administratorrolle angenommen wird. Was sollte implementiert werden?

Die korrekte Antwort ist, eine Amazon EventBridge-Regel zu erstellen, die dem CloudTrail API-Ereignis für AssumeRole entspricht und eine AWS Lambda-Funktion aufruft, die eine Nachricht an ein Amazon SNS-Thema veröffentlicht. Dies bietet eine nahezu Echtzeit-Benachrichtigung, da CloudTrail API-Aufrufe protokolliert und EventBridge diese Ereignisse filtern und Aktionen auslösen kann. Lambda kann die Benachrichtigung an SNS senden, das dann das Sicherheitsteam informiert. Die Option mit AWS Config und Amazon Athena ist zu langsam, da Athena Abfragen über Protokolle durchführt und keine Echtzeit-Benachrichtigungen ermöglicht. Amazon GuardDuty ist für die Erkennung von Bedrohungen und ungewöhnlichen Aktivitäten konzipiert, nicht speziell für die Überwachung von Rollenübernahmen und die sofortige Benachrichtigung. Eine EventBridge-Regel, die Anmeldeereignisse der AWS Management Console abgleicht, ist nicht präzise genug, da die Rollenübernahme auch über die CLI oder SDKs erfolgen kann und nicht nur über die Konsole. Die Überwachung des spezifischen AssumeRole-API-Ereignisses über CloudTrail ist der genaueste und effizienteste Weg.