Un equipo de seguridad requiere una forma de probar que los archivos de registro de AWS CloudTrail no han sido modificados después de la entrega. La organización ya utiliza IAM para restringir quién puede acceder a trails específicos. ¿Cuál es el método MÁS eficiente operativamente para garantizar y validar la integridad de cada archivo de CloudTrail entregado?

La validación de integridad de archivos incorporada de CloudTrail es la solución más eficiente. Cuando se habilita, CloudTrail entrega periódicamente archivos digest (resumen) a su bucket de S3, los cuales contienen hashes de los archivos de registro entregados. El equipo de seguridad puede usar estos archivos digest para verificar criptográficamente que los archivos de registro no han sido alterados después de la entrega. Las otras opciones implican soluciones personalizadas (Lambda, EventBridge, DynamoDB) que requieren desarrollo, mantenimiento y no son tan robustas como la validación nativa de CloudTrail. Calcular y almacenar checksums MD5 manualmente es menos seguro y más complejo de gestionar que el proceso automatizado y criptográficamente seguro de CloudTrail.