Uma empresa executa um aplicativo em instâncias Amazon EC2 que processam dados confidenciais de clientes. A empresa deve restringir o acesso e não permite a abertura de portas de entrada, a manutenção de bastion hosts ou o gerenciamento de chaves SSH. Um engenheiro de segurança precisa de acesso seguro às instâncias e deseja capturar, armazenar e acessar logs de sessão totalmente criptografados. Qual solução atende a esses requisitos?

A opção correta é usar o AWS Systems Manager Session Manager para se conectar às instâncias EC2, configurar o registro do Amazon CloudWatch, habilitar o upload de logs de sessão e permitir apenas grupos de logs do CloudWatch Logs criptografados. O Session Manager permite acesso seguro a instâncias EC2 sem a necessidade de portas de entrada abertas, bastion hosts ou gerenciamento de chaves SSH, atendendo aos requisitos de restrição de acesso. Ele também oferece a capacidade de registrar sessões no CloudWatch Logs, que podem ser criptografados, garantindo a captura, armazenamento e acesso seguros dos logs. As opções incorretas são: AWS Control Tower e AWS Security Hub não são ferramentas para conexão direta a instâncias EC2. O Control Tower é para governança de multi-contas e o Security Hub para gerenciamento de postura de segurança. A opção que menciona "monitoramento do Amazon CloudWatch para registrar sessões" e "grupos de logs do CloudWatch Logs selecionados" é menos precisa e completa do que a opção correta, que especifica "configurar o registro do Amazon CloudWatch" e "permitir apenas grupos de logs do CloudWatch Logs criptografados", abordando diretamente o requisito de criptografia.