Un ingeniero de seguridad debe implementar un control WORM (write-once-read-many) para los datos almacenados en buckets de Amazon S3 que utilizan la clase de almacenamiento S3 Standard. La solución debe evitar la sobrescritura o eliminación de objetos por parte de cualquier usuario, incluido el usuario root. ¿Qué enfoque cumple con estos requisitos?

La opción correcta es crear nuevos buckets de S3 con S3 Object Lock habilitado en modo de cumplimiento. Este modo garantiza que los objetos no puedan ser sobrescritos ni eliminados por ningún usuario, incluido el usuario root de la cuenta, durante el período de retención especificado. Una vez configurado, el modo de cumplimiento es inmutable. Las opciones incorrectas son: S3 Glacier Vault Lock está diseñado para S3 Glacier y no para S3 Standard, además de que su proceso de bloqueo de 24 horas no es adecuado para la necesidad inmediata de WORM en S3 Standard. El modo de gobernanza de S3 Object Lock permite que usuarios con permisos especiales (como el usuario root) o roles de IAM con permisos específicos puedan sobrescribir o eliminar objetos, lo que no cumple con el requisito de evitar la eliminación por parte de cualquier usuario. La retención legal en modo de gobernanza es temporal y puede ser eliminada por usuarios con permisos suficientes, lo que no garantiza un control WORM estricto contra el usuario root.