Un analyste de sécurité dépanne des alertes concernant des modifications suspectes de groupes de sécurité. L'équipe a déclaré qu'une alarme Amazon CloudWatch surveille les événements AWS CloudTrail correspondants. L'analyste a testé en modifiant un groupe de sécurité mais n'a reçu aucune alerte. Quelle étape de dépannage l'analyste devrait-il suivre ?

L'analyste doit vérifier la configuration de l'alarme CloudWatch. La modification d'un groupe de sécurité génère un événement CloudTrail. Pour qu'une alarme se déclenche, un filtre de métriques CloudWatch Logs doit être configuré pour capturer cet événement spécifique de CloudTrail. Ce filtre doit ensuite être associé à une métrique, et cette métrique doit être utilisée par une alarme CloudWatch. Enfin, l'alarme doit avoir une action de notification (par exemple, vers un sujet SNS) configurée pour envoyer l'alerte. Confirmer que CloudTrail et la journalisation des accès au serveur S3 sont activés est une bonne pratique, mais CloudTrail est généralement activé par défaut et la journalisation S3 n'est pas directement liée à la détection des modifications de groupes de sécurité via CloudWatch Logs. Examiner les tableaux de bord CloudWatch ne résoudra pas le problème si la métrique ou l'alarme sous-jacente est mal configurée. Les permissions IAM de l'analyste sont pertinentes pour visualiser les métriques, mais pas pour le déclenchement de l'alarme elle-même.