セキュリティチームが SageMaker 推論エンドポイントへの不審なアクセスを調査しています。「過去 90 日間に InvokeEndpoint API を呼び出した IAM ユーザー・ロールの一覧」および「各呼び出し

Question

セキュリティチームが SageMaker 推論エンドポイントへの不審なアクセスを調査しています。「過去 90 日間に InvokeEndpoint API を呼び出した IAM ユーザー・ロールの一覧」および「各呼び出しのソース IP アドレスとタイムスタンプ」を取得する必要があります。最も適切な調査手順はどれですか？

Accepted Answer

正解: AWS CloudTrail の証跡ログを Amazon S3 から取得し、Athena または CloudTrail Lake で eventName が InvokeEndpoint のレコードを検索して IAM プリンシパルとソース IP を確認する。AWS CloudTrail はすべての AWS API コールを記録し、呼び出し元の IAM プリンシパル（userIdentity）・ソース IP・タイムスタンプを含みます。SageMaker の InvokeEndpoint も CloudTrail に記録されるため、Athena または CloudTrail Lake でクエリすることで監査情報を取得できます。

選択肢A の Amazon CloudWatch Metrics は集計値のみでプリンシパル情報を持たず、呼び出し元の特定には不向きです。

選択肢B の SageMaker Model Monitor のデータキャプチャは、入出力ペイロードの記録であり IAM 監査には不向きです。

選択肢D の VPC フローログは、ネットワークレベルのトラフィック情報（IP アドレス・ポート・バイト数）を記録しますが IAM プリンシパル情報は含まれないため、接続元 IP から IAM ユーザーを逆引きすることはできません。

Answer

Amazon CloudWatch Metrics の InvocationCount メトリクスを参照し、呼び出し数の急増した時間帯を特定する — Amazon CloudWatch Metrics は集計値のみでプリンシパル情報を持たず、呼び出し元の特定には不向きです。

Answer

SageMaker Model Monitor のデータキャプチャを有効化し、キャプチャされた推論リクエストのペイロードから呼び出し元を特定する — SageMaker Model Monitor のデータキャプチャは、入出力ペイロードの記録であり IAM 監査には不向きです。

Answer

VPC フローログを有効化してエンドポイントへのネットワークトラフィックを分析し、接続元 IP から IAM ユーザーを逆引きする — VPC フローログは、ネットワークレベルのトラフィック情報（IP アドレス・ポート・バイト数）を記録しますが IAM プリンシパル情報は含まれないため、接続元 IP から IAM ユーザーを逆引きすることはできません。

解説

解説