Un equipo de seguridad está creando una solución de alertas basada en Amazon EventBridge para detectar nuevos objetos de Amazon S3 con acceso público y cualquier política o cambio de configuración de bucket de S3 que haga que los datos sean públicos. EventBridge escucha eventos específicos de la API de AWS CloudTrail e inmediatamente envía los detalles al equipo a través de Amazon Simple Notification Service (Amazon SNS). El equipo configuró EventBridge para que coincidiera con los eventos s3:PutObjectAcl, s3:DeleteBucketPolicy y s3:PutBucketPolicy. En las pruebas (con los eventos de administración de CloudTrail habilitados en la misma Región y un patrón de eventos verificado), EventBridge se activa para s3:DeleteBucketPolicy y s3:PutBucketPolicy, pero no para s3:PutObjectAcl. El equipo debe asegurarse de que s3:PutObjectAcl genere un evento de EventBridge sin causar notificaciones falsas. ¿Qué deben hacer?

La opción correcta es habilitar el registro de eventos de datos de CloudTrail para operaciones de lectura y escritura de objetos de S3. Los eventos como s3:PutObjectAcl son eventos de datos de S3, no eventos de administración. CloudTrail registra los eventos de administración por defecto, pero los eventos de datos requieren una configuración explícita. Sin el registro de eventos de datos habilitado, CloudTrail no capturará s3:PutObjectAcl, y por lo tanto, EventBridge no podrá detectarlo. Las otras opciones son incorrectas: Las opciones de actualizar la regla de EventBridge para usar la fuente de eventos de Amazon S3 y seleccionar "Todos los eventos" o "Operaciones a nivel de bucket" son incorrectas porque EventBridge ya está escuchando eventos de CloudTrail. El problema no es la configuración de EventBridge, sino que CloudTrail no está recibiendo el evento. Habilitar AWS CloudTrail Insights es para detectar actividad inusual de la API, no para registrar eventos de datos específicos.