インスタンスのメタデータからの認証情報の窃取

正解は ウ です。 IMDSv2 はセッションの トークン(PUTの要求) が必要なため、単純なSSRFでは認証情報を取得できません。宣言型ポリシーなどで新しいインスタンスにも強制します。 長期のキーの保存は危険が増える。 事後の確認で、窃取を防げない。 SSRFによる認証情報の窃取を防げる。 アプリの必要な通信も止まり、SSRFの対策にならない。

Webアプリにサーバー側リクエストフォージェリ(SSRF)の脆弱性が見つかった。この脆弱性を使ってEC2のインスタンスのロールの認証情報を盗まれることを、全てのインスタンスで防ぎたい。

最も適切なものを1つ選択してください。

出典AWS非公式・オリジナル問題
ア
インスタンスのロールを外して、アクセスキーを設定ファイルに保存する
イ
インスタンスのメタデータのログを毎月確認して、不審なアクセスを探す
ウ
全てのインスタンスでIMDSv2(トークンの必須化)にし、新しいものにも強制する
エ
インスタンスのセキュリティグループで、全ての外向きの通信を拒否する