ApexRetailのインシデント対応チームは、セキュリティチームのKMSカスタマーマネージドキーがUTC 03:14に無効化されたことを発見しました。同社は、すべての管理イベントをS3バケットに配信する組織レベルのCloudTrailを運用しています。彼らは、どのフェデレーテッドユーザーがDisableKey APIコールを実行したか、送信元IP、およびMFAが使用されたかどうかを迅速に特定する必要があります。既存のログデータを使用して最も効率的なアプローチは何ですか？

この状況で最も効率的なアプローチは、Amazon Athenaを使用してS3バケットに保存されている既存のCloudTrailログを直接クエリすることです。CloudTrailはすべての管理イベントを記録しており、AthenaはSQLクエリでこれらのログを分析するための強力なツールです。eventName='DisableKey'でフィルタリングし、必要なユーザーARN、送信元IP、およびMFA認証ステータスのフィールドを選択することで、迅速かつ正確に情報を特定できます。 Amazon Detectiveは、既存のログデータを分析しますが、特定のAPIコールに関する詳細な属性を直接クエリする用途には最適ではありません。CloudTrail Lakeは将来のイベントを対象とするため、過去のイベントには適用できません。AWS Configはリソースの設定変更を追跡するものであり、APIコールの詳細なイベント分析には適していません。