Una empresa almacena datos sensibles en un bucket de Amazon S3 cifrado con cifrado del lado del servidor con claves gestionadas por Amazon S3 (SSE-S3). Un ingeniero de seguridad debe evitar cualquier modificación de los objetos. ¿Qué solución cumple este requisito?

La opción correcta es habilitar S3 Object Lock en modo Compliance y activar el versionado del bucket de S3. S3 Object Lock evita que los objetos sean sobrescritos o eliminados durante un período de retención definido. El modo Compliance es el más estricto, impidiendo que incluso la cuenta root de AWS elimine los objetos antes de que expire el período de retención. El versionado del bucket es un requisito previo para Object Lock y permite recuperar versiones anteriores de un objeto si se modifica o elimina accidentalmente. Usar una política de bucket para denegar s3:DeleteObject y s3:PutObject no es suficiente, ya que una política puede ser modificada por un usuario con los permisos adecuados. Cambiar a SSE-KMS solo afecta el cifrado, no la inmutabilidad de los objetos. Habilitar la eliminación con MFA añade una capa de seguridad para la eliminación, pero no impide la sobrescritura ni garantiza la inmutabilidad de los objetos como lo hace Object Lock.