Het incidentresponseteam van ApexRetail ontdekte dat de door de Security-team beheerde KMS customer managed key om 03:14 UTC was uitgeschakeld. Het bedrijf heeft een CloudTrail op organisatieniveau dat alle management events naar een S3-bucket levert. Ze moeten snel bepalen welke gefedereerde gebruiker de DisableKey API-aanroep heeft uitgevoerd, het bron-IP-adres, en of MFA is gebruikt. Wat is de meest efficiënte aanpak met behulp van bestaande loggegevens?

De meest efficiënte aanpak is het direct bevragen van de bestaande CloudTrail-logs in S3 met Amazon Athena. CloudTrail levert alle benodigde informatie (eventName, userIdentity, sourceIPAddress, mfaAuthenticated) en Athena is geoptimaliseerd voor snelle ad-hoc queries op S3-data zonder dat er data geladen of getransformeerd hoeft te worden. Amazon Detective is nuttig voor onderzoek, maar vereist mogelijk extra configuratie en is niet de meest directe manier om specifieke loggegevens op te halen. CloudTrail Lake is een goede optie voor toekomstige analyses, maar vereist het opzetten van een nieuwe event data store en het wachten tot data is geïndexeerd, wat niet voldoet aan de eis van "snel bepalen" met bestaande loggegevens. AWS Config richt zich op resource configuratie en compliance, niet op gedetailleerde API-aanroep metadata zoals MFA-status en bron-IP.