Un'applicazione è in esecuzione su un'istanza Amazon EC2 con un ruolo IAM allegato che consente l'uso di una chiave gestita dal cliente di AWS Key Management Service (AWS KMS) e l'accesso a un bucket Amazon S3 contenente 2 TB di dati sensibili. Un ingegnere della sicurezza scopre una potenziale vulnerabilità sull'istanza che potrebbe esporre i dati ma non può arrestare immediatamente l'istanza. Qual è il modo più rapido per prevenire l'esposizione dei dati sensibili?

La revoca delle credenziali di sessione attive del ruolo IAM interrompe immediatamente qualsiasi accesso in corso al bucket S3 da parte dell'istanza EC2. Aggiornare la policy del bucket S3 per negare esplicitamente tale ruolo garantisce che anche se nuove credenziali venissero generate, l'accesso sarebbe bloccato a livello di bucket. Rimuovere il ruolo dal profilo dell'istanza EC2 impedisce all'istanza di assumere nuovamente quel ruolo in futuro. Questo approccio è il più rapido ed efficace per prevenire l'esposizione dei dati senza dover spegnere l'istanza. Le altre opzioni implicano operazioni più lunghe e complesse come la copia o la ricifratura dei dati, o si basano su controlli a livello di rete che potrebbero essere aggirati o non completamente efficaci.