セキュリティチームは、Amazon GuardDutyから「IAMUser/AnomalousBehavior」の検出結果を受信しました。特定のIAMユーザーのアクセスキーが侵害され、攻撃者がそのキーを使って新しいIAMユーザーの作成と権限昇格を試みていることが判明しました。被害の拡大を最小限に抑えながら、フォレンジック調査に必要なログを保全するための自動対応として最も適切なものはどれですか？
IAM認証情報の侵害に対する適切な対応は「遮断→調査→復旧」の順で行います。EventBridge+Lambdaの自動化で：(1) アクセスキーを「非アクティブ」に変更して認証情報を無効化、(2) 明示的DenyポリシーをアタッチしてSTSの既存セッショントークンも含めた全アクセスを遮断、(3) CloudTrailログを保全という適切な封じ込めを実現します。 選択肢Aのキーの削除のみでは、攻撃者が作成した追加IAMユーザーや既存の有効セッションが残存する可能性があります。また削除によりキーIDの記録が失われ調査上も問題です。 選択肢CのCloudTrailを停止する方式は攻撃者の行動記録が失われ、コンプライアンス違反にもなります。 選択肢DのOrganizationsからの除外は影響範囲が広大で正規業務への被害が甚大です。