I dipendenti hanno permessi AWS limitati, ma gli ingegneri DevOps possono assumere un ruolo di amministratore. Il team di sicurezza ha bisogno di notifiche quasi in tempo reale ogni volta che il ruolo di amministratore viene assunto. Cosa dovrebbe essere implementato?

La risposta corretta è creare una regola Amazon EventBridge che corrisponda all'evento API CloudTrail AssumeRole, invocare una funzione AWS Lambda che pubblichi un messaggio su un argomento Amazon SNS. Questo approccio fornisce notifiche quasi in tempo reale perché EventBridge elabora gli eventi di CloudTrail con una latenza minima e Lambda può inviare immediatamente la notifica tramite SNS. Le altre opzioni sono meno efficienti o non adatte per notifiche quasi in tempo reale: L'uso di AWS Config e Amazon Athena per interrogare i log S3 è un processo batch e non fornisce notifiche in tempo reale. Amazon GuardDuty è un servizio di rilevamento delle minacce e non è progettato specificamente per monitorare gli eventi di AssumeRole per scopi di notifica immediata. Una regola EventBridge che corrisponda agli eventi di accesso alla AWS Management Console non catturerebbe tutti gli eventi AssumeRole, poiché l'assunzione di ruolo può avvenire anche tramite CLI o SDK.