Uma equipe de segurança exige uma forma de provar que os arquivos de log do AWS CloudTrail não foram modificados após a entrega. A organização já usa o IAM para restringir quem pode acessar trilhas específicas. Qual é o método MAIS operacionalmente eficiente para garantir e validar a integridade de cada arquivo CloudTrail entregue?

A opção correta é habilitar a validação de integridade de arquivos integrada do CloudTrail. O CloudTrail gera arquivos digest que contêm um hash de cada arquivo de log entregue, permitindo que a equipe de segurança valide criptograficamente a integridade dos logs, confirmando que não foram alterados após a entrega. Este é o método mais eficiente, pois é uma funcionalidade nativa e projetada para esse propósito. As outras opções são menos eficientes ou inadequadas: Calcular checksums MD5 com Lambda e armazená-los no DynamoDB ou como tags S3 adiciona complexidade operacional desnecessária e não oferece o mesmo nível de garantia criptográfica que os arquivos digest do CloudTrail. Além disso, MD5 não é recomendado para integridade de dados devido a vulnerabilidades de colisão. A "capacidade de integridade de arquivos do CloudTrail no bucket S3" não é uma funcionalidade nativa do CloudTrail para validação de integridade de logs, tornando a opção incorreta.