Ein Unternehmen nutzt AWS Organizations und hat AWS CloudTrail in allen Regionen aktiviert. Ein Sicherheitsingenieur muss sicherstellen, dass CloudTrail nicht deaktiviert werden kann. Welche Lösung erfüllt diese Anforderung?

Die Erstellung einer Service Control Policy (SCP) mit einem expliziten Deny für StopLogging und DeleteTrail und deren Anfügung an die Root-OU ist die effektivste Methode, um zu verhindern, dass CloudTrail deaktiviert oder gelöscht wird. SCPs gelten für alle Konten innerhalb der Organisationseinheit (OU), an die sie angehängt sind, und überschreiben alle IAM-Berechtigungen. Die Validierung der Protokolldateiintegrität stellt sicher, dass Protokolle nicht manipuliert wurden, verhindert aber nicht das Deaktivieren von CloudTrail. SSE-KMS verschlüsselt die Protokolle, verhindert aber ebenfalls nicht das Deaktivieren. IAM-Richtlinien für Benutzer sind unzureichend, da sie nicht für Root-Benutzer oder andere privilegierte Rollen gelten und umgangen werden könnten; zudem verhindern DescribeTrails und GetTrailStatus nicht das Deaktivieren.