Un ingegnere della sicurezza deve generare un avviso quando si verificano tre o più tentativi di accesso falliti alla AWS Management Console entro un intervallo di 5 minuti. È già presente un trail di CloudTrail. Quale soluzione soddisferà questi requisiti?

La soluzione corretta sfrutta la capacità di CloudWatch Logs di filtrare gli eventi CloudTrail e di creare metriche personalizzate. Inviando gli eventi CloudTrail a CloudWatch Logs, è possibile definire un filtro di metriche che cerca specificamente gli eventi di accesso fallito alla console (eventName=ConsoleLogin e errorMessage="Failed authentication"). Una volta creata la metrica, un allarme CloudWatch può monitorare questa metrica e attivarsi quando il conteggio degli eventi supera la soglia di 3 in un periodo di 5 minuti, soddisfacendo i requisiti. Le altre opzioni sono meno adatte: Gli eventi Insights di CloudTrail sono progettati per rilevare attività API insolite o anomale, non per contare eventi specifici con una soglia definita. Amazon Athena è uno strumento di query interattivo per l'analisi dei dati, non un servizio di monitoraggio in tempo reale che genera allarmi automaticamente basati su soglie. IAM Access Analyzer è utilizzato per identificare risorse esterne che possono accedere alle tue risorse, non per monitorare i tentativi di accesso falliti degli utenti.