Medewerkers hebben beperkte AWS-machtigingen, maar DevOps-engineers kunnen een beheerdersrol aannemen. Het beveiligingsteam heeft bijna realtime meldingen nodig wanneer de beheerdersrol wordt aangenomen. Wat moet er worden geïmplementeerd?

De correcte optie gebruikt EventBridge om direct te reageren op de AssumeRole API-gebeurtenis die wordt vastgelegd door CloudTrail. Dit biedt een bijna realtime detectie van het aannemen van de beheerdersrol. EventBridge kan direct een Lambda-functie triggeren, die vervolgens een melding via SNS kan versturen naar het beveiligingsteam. Dit is efficiënt en schaalbaar. De andere opties zijn minder geschikt: Het configureren van AWS Config en het bevragen van S3-logs met Athena is geen bijna realtime oplossing; er is vertraging bij loglevering en bevraging. GuardDuty is primair gericht op het detecteren van kwaadaardige activiteiten en bedreigingen, niet op het monitoren van specifieke, legitieme rol-aannamegebeurtenissen voor directe meldingen. Een EventBridge-regel die alleen overeenkomt met AWS Management Console-aanmeldingsgebeurtenissen is te breed en mist de specifieke AssumeRole API-oproep, die ook programmatisch kan plaatsvinden.