Un'azienda sospetta che un attaccante abbia sfruttato un ruolo eccessivamente permissivo per estrarre le credenziali dai metadati di un'istanza Amazon EC2. L'azienda utilizza Amazon GuardDuty e AWS Audit Manager e ha abilitato la registrazione di AWS CloudTrail e Amazon CloudWatch su tutti gli account. Un ingegnere della sicurezza deve determinare se le credenziali rubate siano state utilizzate da account esterni all'azienda per accedere alle risorse aziendali. Quale soluzione fornisce queste informazioni?

L'opzione corretta è esaminare i risultati di GuardDuty per gli eventi InstanceCredentialExfiltration. GuardDuty è un servizio di rilevamento delle minacce che monitora continuamente l'attività dannosa e i comportamenti non autorizzati per proteggere gli account e i carichi di lavoro AWS. L'evento InstanceCredentialExfiltration è specificamente progettato per identificare quando le credenziali di un'istanza EC2 vengono utilizzate da un indirizzo IP esterno, indicando un potenziale furto e utilizzo illecito. Le altre opzioni sono meno efficaci o non direttamente applicabili: AWS Audit Manager è per la gestione delle conformità e non rileva direttamente l'uso di credenziali rubate da account esterni. CloudTrail registra le chiamate API, ma cercare manualmente GetSessionToken da un ID account esterno sarebbe un processo laborioso e non specifico per l'esfiltrazione di credenziali da EC2, né indicherebbe automaticamente l'uso da parte di un attaccante esterno. GuardDuty automatizza questa analisi. CloudWatch aggrega e monitora i log, ma non esegue l'analisi di sicurezza avanzata che GuardDuty fornisce per rilevare questo tipo di minaccia specifica.