CloudTrail è abilitato e consegna i file di log a un bucket Amazon S3. Il team operativo è preoccupato che i file di log consegnati possano essere alterati dopo l'arrivo nel bucket. In futuro, come può l'amministratore verificare che i singoli file di log di CloudTrail non siano stati modificati dopo la consegna?

L'opzione corretta è abilitare la convalida dell'integrità dei file di log di CloudTrail e utilizzare i file digest per convalidare l'hash di ciascun file di log. CloudTrail genera file digest che contengono hash crittografici di ogni file di log consegnato. Questi file digest possono essere utilizzati per verificare che i file di log non siano stati alterati dopo la consegna, garantendo l'integrità dei dati di audit. Trasmettere gli eventi a CloudWatch Logs fornisce una copia aggiuntiva, ma non verifica l'integrità dei log originali in S3. Replicare il bucket S3 o crittografare i log aumenta la durabilità e la sicurezza, ma non offre un meccanismo diretto per la convalida dell'integrità post-consegna. Attivare la registrazione degli accessi al server S3 registra le richieste al bucket, ma non convalida i contenuti dei file di log stessi.