Una empresa sospecha que un atacante explotó un rol con permisos excesivos para extraer credenciales de los metadatos de una instancia de Amazon EC2. La empresa utiliza Amazon GuardDuty y AWS Audit Manager, y tiene habilitado el registro de AWS CloudTrail y Amazon CloudWatch en todas las cuentas. Un ingeniero de seguridad debe determinar si las credenciales robadas se utilizaron desde fuera de las cuentas de la empresa para acceder a los recursos de la empresa. ¿Qué solución proporciona esta información?

La respuesta correcta es revisar los hallazgos de GuardDuty para eventos InstanceCredentialExfiltration. GuardDuty es un servicio de detección de amenazas que monitorea continuamente el comportamiento malicioso y la actividad no autorizada. El hallazgo CredentialAccess:EC2/InstanceCredentialExfiltration específicamente identifica cuando las credenciales de una instancia EC2 se han filtrado y se utilizan desde una ubicación externa. Esto aborda directamente la necesidad de determinar si las credenciales robadas se usaron fuera de las cuentas de la empresa. Las otras opciones son incorrectas porque: AWS Audit Manager está diseñado para la auditoría y el cumplimiento, no para la detección de amenazas en tiempo real o la identificación de exfiltración de credenciales. Examinar los logs de CloudTrail o CloudWatch para llamadas a la API GetSessionToken desde un ID de cuenta externo puede ser útil para la investigación, pero GuardDuty ya correlaciona esta información y la presenta como un hallazgo específico de exfiltración de credenciales, lo que lo convierte en la solución más directa y eficiente para este escenario.