Политика безопасности компании требует, чтобы все инстансы Amazon EC2 использовали Amazon Time Sync Service. AWS CloudTrail включен во всех аккаунтах, а логи потоков VPC включены для всех VPC. Инженер по безопасности должен выявить любые инстансы EC2, которые пытаются использовать публичные NTP-серверы в интернете. Какое решение соответствует этим требованиям?

Правильный ответ — отслеживать логи потоков VPC на предмет трафика к нестандартным NTP-серверам в интернете. Политика требует использования Amazon Time Sync Service, который доступен по Link-Local адресу 169.254.169.123. Если инстанс EC2 пытается использовать публичный NTP-сервер, это будет видно как исходящий трафик на порт UDP 123 к IP-адресам за пределами AWS. Логи потоков VPC фиксируют все IP-трафик, входящий и исходящий из сетевых интерфейсов в VPC, что делает их идеальным инструментом для обнаружения такого трафика. Отслеживание логов CloudTrail на предмет вызовов API к нестандартным службам времени или Amazon Time Sync Service не поможет, так как использование NTP-сервера — это сетевой трафик, а не вызов API. CloudTrail записывает действия API и события управления, а не сетевые соединения. Отслеживание логов потоков VPC на предмет трафика к Amazon Time Sync Service не выявит нарушения, так как это ожидаемое поведение.