Ein Sicherheitsteam entwickelt eine Amazon EventBridge-basierte Alarmierungslösung, um neue Amazon S3-Objekte mit öffentlichem Zugriff und alle S3-Bucket-Richtlinien- oder Einstellungsänderungen zu erkennen, die Daten öffentlich machen. EventBridge überwacht spezifische AWS CloudTrail-API-Ereignisse und sendet Details sofort über Amazon Simple Notification Service (Amazon SNS) an das Team. Das Team hat EventBridge so konfiguriert, dass es mit den Ereignissen s3:PutObjectAcl, s3:DeleteBucketPolicy und s3:PutBucketPolicy übereinstimmt. Beim Testen (mit aktivierten CloudTrail-Verwaltungsereignissen in derselben Region und einem verifizierten Ereignismuster) löst EventBridge für s3:DeleteBucketPolicy und s3:PutBucketPolicy aus, aber nicht für s3:PutObjectAcl. Das Team muss sicherstellen, dass s3:PutObjectAcl ein EventBridge-Ereignis generiert, ohne falsche Benachrichtigungen zu verursachen. Was sollte das Team tun?

Die Aktivierung der CloudTrail-Datenereignisprotokollierung für S3-Objekt-Lese- und Schreibvorgänge ist erforderlich, da s3:PutObjectAcl ein Datenereignis ist. CloudTrail erfasst standardmäßig nur Verwaltungsereignisse. Um Datenereignisse wie PutObjectAcl zu überwachen, muss die Datenereignisprotokollierung explizit aktiviert werden. Ohne diese Einstellung werden diese Ereignisse nicht an CloudTrail gesendet und können daher nicht von EventBridge erkannt werden. Die Option, die EventBridge-Regel zu aktualisieren, um die Amazon S3-Ereignisquelle zu verwenden und „All Events“ oder „Bucket Level Operations“ auszuwählen, ist falsch, da EventBridge nur Ereignisse verarbeiten kann, die von CloudTrail empfangen werden. Wenn CloudTrail das Ereignis nicht protokolliert, kann EventBridge es nicht erkennen. AWS CloudTrail Insights ist für die Erkennung ungewöhnlicher API-Aktivitäten gedacht und nicht für die Protokollierung spezifischer Datenereignisse.