Une entreprise stocke de manière centralisée tous les journaux AWS CloudTrail dans un compartiment Amazon S3 géré par l'équipe de sécurité. L'équipe doit empêcher tout accès non autorisé et détecter ou prévenir toute altération des journaux. Quelle combinaison d'actions doit être mise en œuvre ? (Choisissez-en trois.)

Activer le chiffrement côté serveur avec SSE-KMS protège les journaux au repos contre l'accès non autorisé, car les données sont chiffrées avant d'être écrites sur le disque et déchiffrées lors de la récupération. Appliquer le principe du moindre privilège via une politique de compartiment S3 garantit que seuls les utilisateurs et rôles autorisés ont accès aux journaux, empêchant ainsi les modifications non désirées. Activer la validation de l'intégrité des fichiers journaux CloudTrail permet de détecter si les journaux ont été altérés après leur livraison, en utilisant des sommes de contrôle. Compresser les fichiers journaux avec gzip réduit les coûts de stockage mais n'améliore pas la sécurité. Créer une règle Amazon EventBridge peut alerter sur les modifications, mais la validation de l'intégrité est une mesure plus directe pour détecter l'altération. Activer Access Analyzer pour S3 aide à identifier les ressources S3 partagées publiquement ou avec des comptes externes, mais ne prévient pas l'altération ni ne chiffre les données.