Il team di sicurezza deve essere avvisato solo quando un bucket Amazon S3 diventa esposto pubblicamente in un account AWS appena acquisito. L'azienda ha già un argomento SNS con l'iscrizione e-mail del team di sicurezza. Quale approccio invierà notifiche solo quando un bucket è esposto pubblicamente?

L'opzione corretta è creare un analizzatore IAM Access Analyzer e una regola Amazon EventBridge. IAM Access Analyzer monitora continuamente le policy delle risorse, inclusi i bucket S3, per identificare quelle accessibili pubblicamente o esternamente. Quando rileva un bucket S3 esposto pubblicamente, genera un "Access Analyzer Finding" con isPublic: true. Una regola EventBridge può intercettare specificamente questi eventi e inviare una notifica all'argomento SNS del team di sicurezza. Le altre opzioni sono meno efficaci o inappropriate: Le notifiche di evento S3 non hanno un evento specifico per "isPublic" e richiederebbero una configurazione complessa su ogni bucket. Filtrare le chiamate API PutBucketPolicy tramite CloudTrail non è sufficiente, poiché un bucket potrebbe diventare pubblico anche tramite altre configurazioni o modifiche successive, e non indica necessariamente un'esposizione pubblica. AWS Config con la regola cloudtrail-s3-dataevents-enabled verifica l'abilitazione della registrazione degli eventi dati di S3 in CloudTrail, non l'esposizione pubblica del bucket stesso.