Een bedrijf observeert ongebruikelijke inlogpogingen in meerdere AWS accounts. Er bestaat al een SNS topic waarop het beveiligingsteam geabonneerd is. Welke aanpak vereist de minste operationele inspanning om het beveiligingsteam op de hoogte te stellen wanneer er meerdere mislukte Console-inlogpogingen plaatsvinden?

De correcte optie is de meest efficiënte omdat deze gebruikmaakt van de ingebouwde integratie tussen CloudTrail, CloudWatch Logs en CloudWatch Alarms. CloudTrail legt management events vast, waaronder inlogpogingen. Door deze naar CloudWatch Logs te sturen, kunnen metric filters direct worden toegepast om specifieke patronen (zoals mislukte Console-inlogpogingen) te detecteren. Een CloudWatch Alarm kan vervolgens worden geconfigureerd om te triggeren op basis van deze metric en een melding naar het bestaande SNS topic te sturen. Dit is een gestroomlijnd proces met minimale operationele overhead. De andere opties zijn minder efficiënt: Het gebruik van Athena voor het queryen van S3-logs en EventBridge voor scheduling introduceert extra componenten en complexiteit. Het configureren van CloudTrail om data events te sturen is onnodig, aangezien Console-inlogpogingen management events zijn, niet data events. S3 event notifications zijn niet geschikt voor het filteren op specifieke loginhoud; ze reageren op objectcreatie, niet op de inhoud van het object.