スタック構成後に行われた手動変更を検出する CloudFormation ドリフト検出が発表されました。
実際どういう変更を検出するのか、EC2 リソースに対していくつかパターンを試してみました。
2018年12月時点です。

新 – CloudFormation ドリフト検出 | Amazon Web Services ブログ

パターン検証用 CFn テンプレートサンプル

AWSTemplateFormatVersion: 2010-09-09
Resources:
  SecurityGroup:
    Type: AWS::EC2::SecurityGroup
    Properties:
      GroupDescription: SampleSecurityGroup
      SecurityGroupIngress:
        - IpProtocol: tcp
          FromPort: 22
          ToPort: 22
          CidrIp: 0.0.0.0/0
  Instance:
    Type: AWS::EC2::Instance
    Properties:
      ImageId: ami-0a2de1c3b415889d2
      InstanceType: t2.micro
      SecurityGroups:
        - !Ref SecurityGroup
      KeyName: Keypair
      Monitoring: !Ref AWS::NoValue
      Tags:
        - Key: Sample
          Value: test tag sample