ある金融機関のセキュリティチームは、AWS環境でのIAMポリシー操作（CreatePolicy・AttachRolePolicy・PutGroupPolicy等）が短時間に急増することを、権限昇格攻撃の有力な指標と位置づけています。AWS CloudTrailはすでに全リージョンのマルチリージョントレイルとして設定され、ログはCloudWatch Logsの専用ロググループに配信されています。セキュリティチームは「任意の10分間にIAMポリシー操作が20件を超えた場合」に自動アラートを送信する仕組みを最小の追加構成で実装したいと考えています。この要件に最も適した解決策はどれか。
CloudWatch Logsメトリクスフィルターは、既存のCloudWatch Logsロググループ内のCloudTrailログから、指定したAPIコールパターンに一致するイベントを計数するカスタムメトリクスを生成します。CloudWatch Alarmで評価期間を10分間・しきい値を20に設定することで、「任意の10分間に20件超」という固定しきい値に基づく検出が実現できます。CloudTrailはすでにCloudWatch Logsに配信済みのため、メトリクスフィルターとAlarmの追加のみの最小構成で実装可能です。 選択肢BのCloudTrail Insightsは、過去のベースラインからの統計的逸脱を検出しますが、「10分間に20件」のような絶対的な固定しきい値での検出はサポートしておらず、本要件には適合しません。 選択肢CのAmazon GuardDutyは、事前定義された調査結果タイプを機械学習で検出しますが、特定のAPIコール件数に基づくカスタム固定しきい値の検出ルールを作成することはできません。 選択肢DのAmazon EventBridgeは、個別イベントのパターンマッチングには適していますが、特定の時間ウィンドウ内でのイベント件数の集計をネイティブにはサポートしておらず、Lambda＋DynamoDBによる集計ロジックが別途必要になります。