Zespół reagowania na incydenty ApexRetail odkrył, że klucz zarządzany przez klienta KMS zespołu bezpieczeństwa został wyłączony o godzinie 03:14 UTC. Firma posiada CloudTrail na poziomie organizacji, który dostarcza wszystkie zdarzenia zarządzania do zasobnika S3. Muszą szybko ustalić, który sfederowany użytkownik wykonał wywołanie API DisableKey, źródłowy adres IP oraz czy użyto MFA. Jakie jest najbardziej efektywne podejście przy użyciu istniejących danych dziennika?

Prawidłowa odpowiedź to użycie Amazon Athena do zapytania dzienników CloudTrail w S3. CloudTrail rejestruje wszystkie wywołania API, w tym DisableKey, a Athena pozwala na efektywne przeszukiwanie tych dzienników przy użyciu SQL. Tworząc tabelę CloudTrail w Athena, można łatwo filtrować zdarzenia według eventName='DisableKey' i wyodrębnić szczegóły takie jak ARN użytkownika (userIdentity.sessionContext.sessionIssuer.arn), źródłowy adres IP (sourceIPAddress) oraz status MFA (userIdentity.sessionContext.attributes.mfaAuthenticated). Jest to najbardziej efektywne podejście, ponieważ wykorzystuje istniejące dane i narzędzia do szybkiej analizy. Amazon Detective jest narzędziem do analizy bezpieczeństwa, ale może nie dostarczyć tak precyzyjnych szczegółów dotyczących konkretnego wywołania API w tak szybki sposób jak bezpośrednie zapytanie CloudTrail. CloudTrail Lake jest rozwiązaniem do długoterminowego przechowywania i analizy, ale wymaga konfiguracji i nie pomoże w przypadku zdarzeń, które już miały miejsce, jeśli nie było wcześniej skonfigurowane. AWS Config śledzi zmiany w konfiguracji zasobów, a nie konkretne wywołania API w czasie rzeczywistym, więc nie jest odpowiednie do tego zadania.