Uma empresa processará dados confidenciais em instâncias Amazon EC2 e usará o Amazon CloudWatch Logs para coletar, armazenar e acessar arquivos de log para solução de problemas por desenvolvedores. Um engenheiro de segurança deve impedir que os desenvolvedores visualizem dados confidenciais nos logs, e o controle deve ser aplicado automaticamente a todos os novos grupos de log. Qual solução atenderá a esses requisitos?

A criação de uma política de proteção de dados do CloudWatch Logs em nível de conta com identificadores de dados apropriados e a garantia de que os desenvolvedores não tenham a permissão logs:Unmask é a solução mais eficaz e automatizada. Essa política detecta e mascara automaticamente dados confidenciais em todos os grupos de log novos e existentes, impedindo que os desenvolvedores os visualizem. As opções que envolvem a exportação para o S3 e o Amazon Macie são mais complexas e não fornecem mascaramento em tempo real dentro do CloudWatch Logs, além de exigirem gerenciamento adicional de acesso. Criar uma política para cada grupo de log não atende ao requisito de aplicação automática a novos grupos de log.