Une entreprise soupçonne qu'un attaquant a exploité un rôle trop permissif pour extraire des informations d'identification des métadonnées d'une instance Amazon EC2. L'entreprise utilise Amazon GuardDuty et AWS Audit Manager, et a activé la journalisation AWS CloudTrail et Amazon CloudWatch sur tous les comptes. Un ingénieur en sécurité doit déterminer si les informations d'identification volées ont été utilisées depuis l'extérieur des comptes de l'entreprise pour accéder aux ressources de l'entreprise. Quelle solution fournit ces informations ?

GuardDuty est un service de détection des menaces qui surveille en permanence les activités malveillantes et les comportements non autorisés. Le type de résultat CredentialAccess:EC2/InstanceCredentialExfiltration est spécifiquement conçu pour identifier les cas où des informations d'identification d'instance EC2 sont exfiltrées et potentiellement utilisées depuis l'extérieur de l'instance. C'est la solution la plus directe pour détecter l'utilisation d'informations d'identification volées. AWS Audit Manager est un service d'audit et de conformité, pas un service de détection des menaces en temps réel. Il ne génère pas de résultats pour l'exfiltration de crédentiels. Les journaux CloudTrail enregistrent les appels d'API, mais la recherche manuelle d'appels GetSessionToken provenant d'un ID de compte externe serait complexe et moins efficace que la détection automatisée de GuardDuty. De plus, GetSessionToken est un appel STS légitime pour obtenir des informations d'identification temporaires, et son apparition seule ne signifie pas une exfiltration. CloudWatch est un service de surveillance et de journalisation. Bien qu'il puisse agréger les journaux CloudTrail, il ne fournit pas la logique de détection des menaces spécifique à l'exfiltration de crédentiels comme GuardDuty.