El equipo de respuesta a incidentes de ApexRetail descubrió que la clave administrada por el cliente de KMS del equipo de seguridad se deshabilitó a las 03:14 UTC. La empresa tiene un CloudTrail a nivel de organización que entrega todos los eventos de administración a un bucket de S3. Deben determinar rápidamente qué usuario federado realizó la llamada a la API DisableKey, la IP de origen y si se utilizó MFA. ¿Cuál es el enfoque más eficiente utilizando los datos de registro existentes?

La opción correcta es consultar los registros de CloudTrail en S3 con Amazon Athena. CloudTrail registra todas las llamadas a la API, incluyendo DisableKey, y almacena estos registros en un bucket de S3. Athena permite consultar directamente estos registros estructurados utilizando SQL, lo que facilita la extracción de eventName, userIdentity.sessionContext.sessionIssuer.arn (para identificar al usuario federado), sourceIPAddress y userIdentity.sessionContext.attributes.mfaAuthenticated de manera eficiente y retrospectiva. Amazon Detective es útil para investigar patrones de comportamiento, pero no proporciona directamente los detalles específicos de un evento de API como la IP de origen o el estado de MFA de manera tan directa como una consulta a CloudTrail. CloudTrail Lake es una buena opción para el futuro, pero requiere ingestión de datos y no es útil para eventos pasados ya registrados en S3. AWS Config rastrea cambios en la configuración de recursos, no eventos de API específicos con los detalles solicitados.