Uma empresa armazena dados confidenciais em um bucket S3 criptografado com criptografia do lado do servidor com chaves gerenciadas pelo Amazon S3 (SSE-S3). Um engenheiro de segurança deve evitar quaisquer modificações nos objetos. Qual solução atende a esse requisito?

A solução correta é habilitar o S3 Object Lock no modo Compliance e ativar o versionamento do bucket S3. O S3 Object Lock, especialmente no modo Compliance, impede que um objeto seja sobrescrito ou excluído por qualquer usuário, incluindo o usuário root da conta, durante um período de retenção definido. O versionamento do S3 deve estar ativado para que o Object Lock funcione, garantindo que todas as versões dos objetos sejam protegidas. As outras opções não atendem ao requisito: Uma política de bucket S3 para negar s3:DeleteObject e s3:PutObject pode ser alterada por um usuário com permissões suficientes, não oferecendo a imutabilidade necessária. Alterar a criptografia para SSE-KMS não impede modificações nos objetos; apenas muda o método de gerenciamento das chaves de criptografia. Habilitar a exclusão por MFA adiciona uma camada de segurança para exclusões, mas ainda permite que um usuário autorizado com o dispositivo MFA exclua objetos, não garantindo a imutabilidade.