Een bedrijf migreert zijn Amazon EC2-workloads naar Instance Metadata Service Version 2 (IMDSv2). Een beveiligingsingenieur moet bepalen of EC2-instances nog steeds Instance Metadata Service Version 1 (IMDSv1) gebruiken. Hoe kan de ingenieur bevestigen dat het IMDSv1-eindpunt niet langer wordt gebruikt?

De correcte optie is om een Amazon CloudWatch-dashboard te maken en te controleren of de EC2:MetadataNoToken-metriek nul is voor alle EC2-instances. Deze metriek telt het aantal keren dat IMDSv1-aanvragen zijn gedaan zonder een token, wat aangeeft dat IMDSv1 nog steeds wordt gebruikt. Als deze metriek nul is, betekent dit dat er geen IMDSv1-aanvragen zonder token plaatsvinden, wat bevestigt dat IMDSv1 niet meer wordt gebruikt. Het inschakelen van logboekregistratie voor IMDSv1 via de CloudWatch-agent is niet de meest directe methode om het gebruik van IMDSv1 te controleren en vereist extra configuratie. Het maken van een security group om HTTP-toegang tot het IMDSv1-eindpunt te blokkeren, voorkomt weliswaar het gebruik, maar bevestigt niet of het vóór die blokkade nog actief was. Het configureren van user data scripts om IMDSv1-gebruikslogs naar CloudTrail te sturen, is geen standaardfunctionaliteit en zou een complexe, handmatige implementatie vereisen.