Un'azienda archivia centralmente tutti i log di AWS CloudTrail in un bucket Amazon S3 gestito dal team di sicurezza. Il team deve impedire l'accesso non autorizzato e rilevare o prevenire qualsiasi manomissione dei log. Quale combinazione di azioni dovrebbe essere implementata? (Scegliere tre.)

Per prevenire l'accesso non autorizzato e la manomissione dei log, è fondamentale abilitare la crittografia lato server con chiavi gestite da AWS KMS (SSE-KMS) sul bucket S3. Questo garantisce che i dati siano crittografati a riposo, proteggendoli anche in caso di accesso non autorizzato al bucket. Applicare l'accesso con privilegi minimi al bucket S3 tramite una policy del bucket è essenziale per limitare chi può leggere, scrivere o eliminare i log, riducendo il rischio di modifiche non autorizzate. Infine, abilitare la convalida dell'integrità dei file di log di CloudTrail consente di rilevare se i log sono stati modificati o eliminati dopo la consegna, fornendo un meccanismo di rilevamento della manomissione. Comprimere i file di log con gzip è utile per ridurre i costi di archiviazione ma non contribuisce alla sicurezza o all'integrità. Creare una regola Amazon EventBridge per le modifiche ai file di log non è sufficiente per prevenire la manomissione e non garantisce l'integrità dei log stessi. Abilitare Access Analyzer per S3 aiuta a identificare le policy di accesso pubblico o cross-account, ma non previene direttamente la manomissione o garantisce l'integrità dei log.