La política de seguridad de una empresa exige que todas las instancias de Amazon EC2 utilicen Amazon Time Sync Service. AWS CloudTrail está habilitado en todas las cuentas y los registros de flujo de VPC están habilitados para todas las VPC. El ingeniero de seguridad debe identificar cualquier instancia de EC2 que intente utilizar servidores NTP públicos en Internet. ¿Qué solución cumple estos requisitos?

La respuesta correcta es monitorear los registros de flujo de VPC en busca de tráfico a servidores NTP no estándar en Internet. Amazon Time Sync Service se accede a través de una dirección IP de enlace local (169.254.169.123) y no genera tráfico saliente a Internet. Por lo tanto, cualquier instancia que intente utilizar servidores NTP públicos enviará tráfico a direcciones IP externas, lo cual será capturado por los registros de flujo de VPC. Monitorear los registros de CloudTrail en busca de llamadas a la API a servicios de tiempo no estándar no es efectivo porque el uso de servidores NTP no estándar no se registra como una llamada a la API de AWS. Monitorear los registros de CloudTrail en busca de llamadas a la API a Amazon Time Sync Service solo confirmaría el uso del servicio deseado, no la desviación de la política. Monitorear los registros de flujo de VPC en busca de tráfico a Amazon Time Sync Service no es útil porque este tráfico es interno y no indica el uso de servidores NTP externos.