Een bedrijf vermoedt dat een aanvaller een te permissieve rol heeft misbruikt om credentials te extraheren uit Amazon EC2 instance metadata. Het bedrijf gebruikt Amazon GuardDuty en AWS Audit Manager, en heeft AWS CloudTrail en Amazon CloudWatch logging ingeschakeld voor alle accounts. Een security engineer moet bepalen of de gestolen credentials zijn gebruikt vanuit buiten de accounts van het bedrijf om toegang te krijgen tot bedrijfsresources. Welke oplossing biedt deze informatie?

De juiste oplossing is het controleren van GuardDuty-bevindingen op InstanceCredentialExfiltration-gebeurtenissen. GuardDuty is specifiek ontworpen om verdachte activiteiten en potentiële bedreigingen te detecteren, inclusief het exfiltreren van EC2-instantiegegevens. De InstanceCredentialExfiltration-bevinding duidt direct op het gebruik van gestolen credentials buiten de EC2-instantie. AWS Audit Manager is gericht op compliance-audits en het verzamelen van bewijsmateriaal, niet op real-time detectie van beveiligingsincidenten zoals credential exfiltratie. CloudTrail registreert API-aanroepen, maar het handmatig analyseren van GetSessionToken aanroepen om te bepalen of deze van buiten de accounts komen, is complex en minder direct dan de specifieke GuardDuty-bevinding. Bovendien is CloudWatch een monitoringdienst die loggegevens verzamelt; hoewel het CloudTrail-logs kan opslaan, biedt het zelf geen geautomatiseerde detectie van dit specifieke type bedreiging zoals GuardDuty dat doet.