Ein Unternehmen wird sensible Daten auf Amazon EC2-Instanzen verarbeiten und Amazon CloudWatch Logs verwenden, um Protokolldateien für die Fehlerbehebung durch Entwickler zu sammeln, zu speichern und darauf zuzugreifen. Ein Sicherheitsingenieur muss verhindern, dass Entwickler sensible Daten in den Protokollen einsehen können, und die Kontrolle muss automatisch auf alle neuen Protokollgruppen angewendet werden. Welche Lösung erfüllt diese Anforderungen?

Die Erstellung einer kontoübergreifenden CloudWatch Logs-Datenschutzrichtlinie mit den entsprechenden Datenidentifikatoren ist die effektivste Lösung. Diese Richtlinie kann automatisch auf alle neuen Protokollgruppen angewendet werden und maskiert sensible Daten. Durch das Entziehen der IAM-Berechtigung logs:Unmask für Entwickler wird sichergestellt, dass sie die maskierten Daten nicht einsehen können. Die Option, Daten nach S3 zu exportieren und Macie zu verwenden, ist ein komplexerer Ansatz für die Erkennung, aber nicht für die automatische Maskierung in CloudWatch Logs selbst. Eine Datenschutzrichtlinie pro Protokollgruppe ist nicht skalierbar und erfüllt nicht die Anforderung, dass die Kontrolle automatisch auf alle neuen Protokollgruppen angewendet wird.