Uma aplicação é executada em uma instância Amazon EC2 com um perfil do IAM anexado que permite o uso de uma chave gerenciada pelo cliente do AWS Key Management Service (AWS KMS) e acesso a um bucket do Amazon S3 contendo 2 TB de dados sensíveis. Um engenheiro de segurança descobre uma vulnerabilidade potencial na instância que pode expor os dados, mas não pode interromper a instância imediatamente. Qual é a maneira mais rápida de evitar a exposição dos dados sensíveis?

A opção correta é a mais rápida e eficaz para mitigar a exposição de dados. Revogar as credenciais de sessão ativas do perfil do IAM imediatamente invalida qualquer acesso existente. Atualizar a política do bucket S3 para negar explicitamente o perfil do IAM garante que, mesmo que novas credenciais sejam geradas ou a revogação falhe por algum motivo, o acesso ao S3 será bloqueado. Remover o perfil da instância EC2 é uma medida adicional para prevenir o uso futuro. As outras opções são menos eficazes ou mais demoradas: Copiar e recriptografar dados é um processo demorado e não resolve a vulnerabilidade imediata. Bloquear IPs com firewall baseado em host pode ser contornado e não impede o acesso direto via credenciais. Desabilitar e recriar chaves KMS é um processo complexo e demorado, e a chave comprometida ainda poderia ser usada para descriptografar dados já criptografados com ela.