Une entreprise va traiter des données sensibles sur des instances Amazon EC2 et utiliser Amazon CloudWatch Logs pour collecter, stocker et accéder aux fichiers journaux pour le dépannage des développeurs. Un ingénieur de sécurité doit empêcher les développeurs de visualiser les données sensibles dans les journaux, et le contrôle doit s'appliquer automatiquement à tous les nouveaux groupes de journaux. Quelle solution répondra à ces exigences ?

La création d'une politique de protection des données CloudWatch Logs à l'échelle du compte avec les identifiants de données appropriés est la solution la plus efficace. Cette politique détectera et masquera automatiquement les données sensibles dans les flux de journaux pour tous les groupes de journaux existants et futurs, répondant ainsi à l'exigence d'application automatique. En s'assurant que les développeurs n'ont pas la permission logs:Unmask, ils ne pourront pas visualiser les données masquées. Les options impliquant l'exportation vers S3 et Macie sont trop complexes et n'empêchent pas la visualisation des données sensibles dans CloudWatch Logs avant l'exportation. La création d'une politique par groupe de journaux ne répond pas à l'exigence d'application automatique aux nouveaux groupes de journaux.