Una empresa almacena de forma centralizada todos los logs de AWS CloudTrail en un bucket de Amazon S3 gestionado por el equipo de seguridad. El equipo debe evitar el acceso no autorizado y detectar o prevenir cualquier manipulación de los logs. ¿Qué combinación de acciones se debe implementar? (Elija tres)

Habilitar SSE-KMS en el bucket de S3 protege los logs en reposo, garantizando que solo los usuarios autorizados con permisos KMS puedan descifrarlos. Aplicar el acceso con privilegios mínimos mediante una política de bucket restringe quién puede acceder, modificar o eliminar los logs, reduciendo la superficie de ataque. Habilitar la validación de la integridad de los archivos de log de CloudTrail es crucial porque utiliza archivos de resumen firmados digitalmente para verificar que los logs no han sido alterados o eliminados después de su entrega, lo que es fundamental para la detección de manipulación. Comprimir los archivos de log con gzip es una buena práctica para ahorrar costos y espacio, pero no aborda la seguridad ni la integridad. Crear una regla de Amazon EventBridge podría alertar sobre modificaciones, pero no previene la manipulación ni garantiza la integridad de los logs en sí. Habilitar Access Analyzer para S3 ayuda a identificar recursos compartidos externamente, pero no es una medida directa para prevenir la manipulación o asegurar la integridad de los logs de CloudTrail.