Bir şirket, bir saldırganın Amazon EC2 örnek meta verilerinden kimlik bilgilerini çıkarmak için aşırı izinlere sahip bir rolü kullandığından şüpheleniyor. Şirket, Amazon GuardDuty ve AWS Audit Manager kullanıyor ve tüm hesaplarda AWS CloudTrail ve Amazon CloudWatch günlüğü etkinleştirilmiş durumda. Bir güvenlik mühendisi, çalınan kimlik bilgilerinin şirket dışından şirket kaynaklarına erişmek için kullanılıp kullanılmadığını belirlemelidir. Bu bilgiyi hangi çözüm sağlar?

Doğru cevap, GuardDuty bulgularını incelemektir. GuardDuty'nin InstanceCredentialExfiltration bulgusu, EC2 örneklerinden geçici kimlik bilgilerinin sızdırıldığını ve bu kimlik bilgilerinin dışarıdan kullanıldığını gösterir. Bu bulgu, soruda bahsedilen senaryoyu doğrudan tespit etmek için tasarlanmıştır. AWS Audit Manager, uyumluluk denetimleri için kullanılır ve güvenlik olaylarını gerçek zamanlı olarak tespit etmez. CloudTrail ve CloudWatch günlükleri, GetSessionToken API çağrılarını gösterebilir, ancak bu çağrıların bir dış hesap kimliğinden gelip gelmediğini doğrudan belirtmez ve çalınan kimlik bilgilerinin kullanılıp kullanılmadığını GuardDuty kadar spesifik bir şekilde işaret etmez.