한 회사에서 공격자가 과도하게 허용된 역할을 악용하여 Amazon EC2 인스턴스 메타데이터에서 자격 증명을 추출했다고 의심하고 있습니다. 이 회사는 Amazon GuardDuty 및 AWS Audit Manager를 사용하며, 모든 계정에서 AWS CloudTrail 및 Amazon CloudWatch 로깅을 활성화했습니다. 보안 엔지니어는 도난당한 자격 증명이 회사 외부 계정에서 회사 리소스에 액세스하는 데 사용되었는지 확인해야 합니다. 어떤 솔루션이 이 정보를 제공할까요?

정답은 GuardDuty 결과를 검토하는 것입니다. GuardDuty는 AWS 환경에서 잠재적인 위협을 지속적으로 모니터링하는 지능형 위협 탐지 서비스입니다. 특히 InstanceCredentialExfiltration 이벤트는 EC2 인스턴스에서 자격 증명이 유출되었을 가능성이 있을 때 생성됩니다. 이 GuardDuty 결과는 도난당한 자격 증명이 회사 외부 계정에서 리소스에 액세스하는 데 사용되었는지 여부를 직접적으로 나타낼 수 있습니다. AWS Audit Manager는 규정 준수 및 감사 보고서 생성에 중점을 둡니다. 보안 이벤트 탐지보다는 규정 준수 평가에 사용되므로 이 시나리오에는 적합하지 않습니다. CloudTrail 및 CloudWatch 로그는 API 호출 및 활동을 기록하지만, GetSessionToken 호출만으로는 자격 증명 유출 여부나 외부 계정에서의 사용 여부를 직접적으로 파악하기 어렵습니다. GuardDuty는 이러한 위협을 탐지하고 경고하는 데 특화되어 있습니다.