O CloudTrail está habilitado e entrega arquivos de log para um bucket do Amazon S3. A equipe de operações está preocupada que os arquivos de log entregues possam ser alterados após a chegada no bucket. De agora em diante, como o administrador pode verificar se os arquivos de log individuais do CloudTrail não foram modificados após a entrega?

A validação de integridade de arquivos de log do CloudTrail é a solução correta porque o CloudTrail entrega arquivos de digest (resumo) periodicamente para o bucket S3, contendo hashes de todos os arquivos de log entregues durante um período. Ao comparar o hash de um arquivo de log individual com o hash registrado no arquivo de digest, é possível verificar se o arquivo de log não foi alterado após a entrega. Transmitir eventos para o CloudWatch Logs cria uma cópia adicional, mas não valida a integridade dos logs originais no S3. Replicar o bucket S3 para outra região e criptografar os logs aumenta a durabilidade e a segurança, mas não oferece um mecanismo para verificar a integridade dos arquivos de log individuais contra modificações. Ativar o log de acesso ao servidor S3 registra as solicitações de acesso ao bucket, mas não valida o conteúdo dos arquivos de log do CloudTrail.