Un ingegnere ha accidentalmente caricato una chiave di accesso AWS e una chiave di accesso segreta in un repository GitHub pubblico per il progetto open-source dell'azienda. Il manager ha prontamente disabilitato la chiave. L'azienda deve valutare l'impatto dell'esposizione con il minimo overhead di gestione. Cosa dovrebbe fare un ingegnere della sicurezza?

La risposta corretta è esaminare il report delle credenziali di AWS Identity and Access Management (IAM). Questo report fornisce informazioni dettagliate sull'ultima volta che le chiavi di accesso sono state utilizzate, inclusa la data e l'ora, il servizio AWS e la regione. Questo è il modo più diretto e con il minimo overhead per determinare se la chiave esposta è stata utilizzata da un attore malevolo dopo l'esposizione. Esaminare il report sull'utilizzo di IAM di AWS Trusted Advisor non è l'opzione migliore perché Trusted Advisor si concentra sulle best practice e sull'ottimizzazione dei costi, non sull'analisi forense di un incidente di sicurezza specifico. Cercare in Amazon CloudWatch Logs attività associate alla chiave di accesso sarebbe un processo molto più laborioso e richiederebbe di conoscere in anticipo quali log cercare, aumentando l'overhead di gestione. Cercare nei log di flusso VPC voci contenenti la chiave di accesso è improbabile che produca risultati utili, poiché i log di flusso VPC registrano il traffico di rete e non le chiamate API effettuate con le chiavi di accesso.