¿Por qué he recibido la alerta de tipo de resultado de GuardDuty UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration.OutsideAWS para mi instancia de Amazon EC2?

Breve descripción

El tipo de resultado de GuardDuty UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration.OutsideAWS indica que las credenciales temporales de AWS se están utilizando desde un host externo para ejecutar operaciones de una API de AWS. Las credenciales temporales de AWS se crearon en una instancia de Amazon Elastic Compute Cloud (Amazon EC2) en su entorno de AWS.

Resolución

Localice y analice su resultado en GuardDuty. En el panel Detalles del resultado, anote la dirección IP externa y el nombre de usuario de AWS Identity and Access Management (IAM).

La dirección IP externa es segura

Si la dirección IP externa es suya o de alguien en quien confíe, puede archivar automáticamente los resultados con una regla de supresión.

La dirección IP externa es malintencionada

Para resolver este problema, siga estos pasos:

1. Si la dirección IP externa es malintencionada, puede denegar todos los permisos al usuario de IAM.
   Nota: Los permisos para el usuario de IAM se deniegan para todas las instancias de EC2.

2. Cree una política de IAM con una denegación explícita para bloquear el acceso a la instancia para el usuario de IAM.
   Nota: Sustituya su ID de rol your-roleID y your-role-session-name por el nombre de sesión de su rol.

   
   {  "Version": "2012-10-17",  
     "Statement": \[  
       {  
         "Effect": "Deny",  
         "Action": \[  
           "\*"  
         \],  
         "Resource": \[  
           "\*"  
         \],  
         "Condition": {  
           "StringEquals": {  
             "aws:userId": "your-roleId:your-role-session-name"  
           }  
         }  
       }  
     \]  
   }

3. Corrija una instancia EC2 que pueda estar comprometida en su entorno de AWS.
   **Nota:**Como práctica recomendada de seguridad, defina como obligatorio el uso del servicio de metadatos de instancias (IMDS) en sus instancias.