Un audit di sicurezza ha rilevato che un team di sviluppo ha inserito le chiavi di accesso segrete degli utenti IAM all'interno del codice dell'applicazione in un repository AWS CodeCommit. Il team di sicurezza desidera un meccanismo automatizzato per rilevare e correggere queste credenziali esposte in modo che vengano protette automaticamente. Quale soluzione garantirà che le credenziali vengano scoperte e corrette automaticamente?

La soluzione corretta sfrutta un trigger di CodeCommit per invocare una funzione AWS Lambda ad ogni push di codice. Questa Lambda può quindi scansionare i nuovi commit per rilevare credenziali esposte. Se vengono trovate, la funzione può disabilitare automaticamente le credenziali IAM compromesse e notificare il team di sicurezza, fornendo una risposta immediata e automatizzata. Le opzioni errate non offrono la stessa tempestività o efficacia: L'esecuzione di uno script notturno non è in tempo reale e lascia un intervallo di vulnerabilità. La rotazione tramite Secrets Manager è utile ma non risolve il problema alla radice del rilevamento tempestivo. Scaricare e scansionare l'intero repository con Lambda è inefficiente e non scalabile. Archiviare nuove credenziali in KMS non disabilita quelle esposte. Amazon Macie è progettato principalmente per dati sensibili in S3, non per la scansione di repository CodeCommit in tempo reale per credenziali incorporate.