Perché ho ricevuto l'avviso del tipo di esito GuardDuty UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration.OutsideAWS per la mia istanza Amazon EC2?

Breve descrizione

Il tipo di esito GuardDuty UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration.outsideAWS indica che un host esterno ha tentato di utilizzare credenziali AWS temporanee per eseguire operazioni API AWS. Le credenziali AWS temporanee sono state create su un'istanza Amazon Elastic Compute Cloud (Amazon EC2) nel tuo ambiente AWS.

Risoluzione

Individua e analizza i tuoi esiti su GuardDuty. Nel riquadro Dettagli dell'esito, annota l'indirizzo IP esterno e il nome utente AWS Identity and Access Management (IAM).

L'indirizzo IP esterno è sicuro

Se tu o qualcuno di cui ti fidi possiede l'indirizzo IP esterno, è possibile archiviare automaticamente l'esito con una regola di soppressione.

L'indirizzo IP esterno è dannoso

Per risolvere questo problema, completa i seguenti passaggi:

1. Nega tutte le autorizzazioni all'utente IAM.
   Nota: le autorizzazioni per l'utente IAM sono negate per tutte le istanze EC2.

2. Crea una policy IAM con un rifiuto esplicito che blocchi l'accesso all'istanza per l'utente IAM:
   **Nota:**Sostituisci l'ID del tuo ruolo your-roleID e il tuo role-session-name con il nome della sessione del tuo ruolo.

   
   {  "Version": "2012-10-17",  
     "Statement": \[  
       {  
         "Effect": "Deny",  
         "Action": \[  
           "\*"  
         \],  
         "Resource": \[  
           "\*"  
         \],  
         "Condition": {  
           "StringEquals": {  
             "aws:userId": "your-roleId:your-role-session-name"  
           }  
         }  
       }  
     \]  
   }

3. Correggi un'istanza EC2 potenzialmente compromessa nel tuo ambiente AWS.
   **Nota:**Come best practice di sicurezza, assicurati di utilizzare il servizio di metadati di istanza (IMDS) sulle tue istanze.