Una empresa está migrando sus cargas de trabajo de Amazon EC2 a Instance Metadata Service Version 2 (IMDSv2). Un ingeniero de seguridad debe determinar si alguna instancia EC2 sigue utilizando Instance Metadata Service Version 1 (IMDSv1). ¿Cómo puede el ingeniero confirmar que el endpoint de IMDSv1 ya no se está utilizando?

La opción correcta es crear un panel de Amazon CloudWatch y verificar que la métrica EC2:MetadataNoToken sea cero para todas las instancias EC2. Esta métrica indica el número de veces que se ha intentado acceder al servicio de metadatos de instancia sin un token de sesión, lo cual es característico de las solicitudes de IMDSv1. Si esta métrica es cero, significa que no hay solicitudes de IMDSv1. Las otras opciones son incorrectas porque: Habilitar el registro para IMDSv1 con el agente de CloudWatch durante el inicio de la instancia no es una funcionalidad nativa de IMDS. Crear un grupo de seguridad que bloquee el acceso HTTP al endpoint de IMDSv1 no confirma si se está utilizando IMDSv1, solo lo bloquea. Configurar scripts de user data para enviar registros de uso de IMDSv1 a CloudTrail no es una forma estándar ni eficiente de monitorear el uso de IMDSv1.