Eine AWS-Lambda-Funktion wurde missbraucht, um Daten zu ändern. Ein Sicherheitsingenieur muss herausfinden, wer die Funktion aufgerufen hat und was sie zurückgegeben hat. Es gibt jedoch keine Protokolle der Funktion in Amazon CloudWatch Logs. Welche Erklärung begründet die fehlenden Protokolle?

Die Ausführungsrolle (Execution Role) einer AWS Lambda-Funktion benötigt spezifische Berechtigungen, um Protokolle an Amazon CloudWatch Logs senden zu können. Fehlen diese Berechtigungen, wie z.B. logs:CreateLogGroup, logs:CreateLogStream und logs:PutLogEvents, kann die Funktion keine Protokolle schreiben, selbst wenn sie erfolgreich ausgeführt wird. Dies ist die häufigste Ursache für fehlende Lambda-Protokolle in CloudWatch. Die Option, dass die Funktion über API Gateway aufgerufen wurde, ist falsch, da API Gateway die Protokollierung der Lambda-Aufrufe nicht verhindert; die Lambda-Funktion selbst ist für ihre eigenen Ausführungsprotokolle verantwortlich. Die Ausführungsrolle benötigt keine Berechtigungen für einen S3-Bucket, der von CloudWatch Logs verwendet wird, da CloudWatch Logs seine Daten intern verwaltet und nicht direkt in S3-Buckets der Benutzer schreibt. Eine veraltete Version der Funktion würde ebenfalls protokollieren, sofern die Berechtigungen vorhanden sind.