某公司懷疑攻擊者利用權限過高的角色從 Amazon EC2 實例中繼資料中竊取了憑證。該公司使用 Amazon GuardDuty 和 AWS Audit Manager，並在所有帳戶中啟用了 AWS CloudTrail 和 Amazon CloudWatch 記錄。一位安全工程師必須判斷被盜用的憑證是否從公司帳戶外部被用於存取公司資源。哪種解決方案能提供此資訊？

正確答案是檢查 GuardDuty 發現項目中的 InstanceCredentialExfiltration 事件。Amazon GuardDuty 是一種威脅偵測服務，可以識別異常或惡意的行為。當 GuardDuty 偵測到從 EC2 實例中繼資料竊取憑證時，會產生 InstanceCredentialExfiltration 發現項目，這表示憑證可能已被用於外部存取。 AWS Audit Manager 專注於合規性稽核，不會偵測即時的威脅行為。CloudTrail 記錄了 AWS API 呼叫，而 CloudWatch 則用於監控和日誌分析。雖然這些服務可以提供線索，但直接檢查 GuardDuty 發現項目是識別憑證是否被竊取並用於外部存取的更直接且專門的方法。GuardDuty 的設計目的就是為了偵測此類安全事件。