GuardDuty en sévérité haute : les identifiants du serveur web sont utilisés depuis une adresse hors d'AWS

Le site public de MasterLinux (www.masterlinux.lab) tourne sur l'instance ml-web-01 (i-0e7a3c91b5d24f680) derrière un ALB : nginx devant une application Node.js. L'instance porte le rôle IAM ml-web-role, qui lui donne accès à S3. Depuis la semaine dernière, le forum affiche un aperçu des liens collés par les élèves (titre et image de la page visée).

À 02:31, GuardDuty a levé une alerte de sévérité haute sur ce rôle. L'équipe de nuit a vérifié : aucune connexion SSH inhabituelle, le site répond. Le responsable de la sécurité vous demande de comprendre comment les identifiants sont sortis, ce qui a été lu, et de couper l'accès de l'attaquant sans arrêter le site, avant l'ouverture des inscriptions à 09:00.

Vous êtes l'ingénieur sécurité cloud d'astreinte, sur ml-poste-01 (AWS CLI v2, région eu-west-3), avec un accès SSH à ml-web-01 par le bastion.