Firma podejrzewa, że atakujący wykorzystał rolę o zbyt szerokich uprawnieniach do wyodrębnienia poświadczeń z metadanych instancji Amazon EC2. Firma używa Amazon GuardDuty i AWS Audit Manager oraz ma włączone logowanie AWS CloudTrail i Amazon CloudWatch na wszystkich kontach. Inżynier bezpieczeństwa musi ustalić, czy skradzione poświadczenia zostały użyte spoza kont firmy do uzyskania dostępu do zasobów firmy. Które rozwiązanie dostarcza tych informacji?

GuardDuty generuje zdarzenia InstanceCredentialExfiltration, gdy wykryje, że tymczasowe poświadczenia instancji EC2 są używane z zewnętrznego adresu IP lub konta AWS, co jest bezpośrednim wskaźnikiem użycia skradzionych poświadczeń poza kontem firmy. AWS Audit Manager służy do oceny zgodności i nie monitoruje zdarzeń bezpieczeństwa w czasie rzeczywistym. Analiza logów CloudTrail i CloudWatch pod kątem wywołań GetSessionToken z zewnętrznego identyfikatora konta jest możliwa, ale GuardDuty automatyzuje wykrywanie tego konkretnego scenariusza eksfiltracji poświadczeń, dostarczając gotowe wyniki bez konieczności ręcznej analizy logów.