Un'azienda archivia dati sensibili in un bucket Amazon S3 crittografato con crittografia lato server con chiavi gestite da Amazon S3 (SSE-S3). Un ingegnere della sicurezza deve impedire qualsiasi modifica agli oggetti. Quale soluzione soddisfa questo requisito?

La soluzione corretta è abilitare S3 Object Lock in modalità Compliance e attivare il versioning del bucket S3. La modalità Compliance di S3 Object Lock impedisce che un oggetto venga sovrascritto o eliminato da qualsiasi utente, incluso l'account root di AWS, per un periodo di tempo specificato o indefinitamente. Il versioning del bucket S3 è necessario per Object Lock, in quanto conserva più versioni di un oggetto, proteggendo da eliminazioni accidentali o modifiche. Le altre opzioni non soddisfano il requisito: Una policy del bucket S3 che nega s3:DeleteObject e s3:PutObject può essere modificata o rimossa da un utente con le autorizzazioni appropriate, rendendola insufficiente per una protezione immutabile. La modifica della crittografia a SSE-KMS non influisce sulla capacità di modificare o eliminare gli oggetti; riguarda solo la gestione delle chiavi di crittografia. L'abilitazione dell'eliminazione con autenticazione a più fattori (MFA) aggiunge un livello di sicurezza per le operazioni di eliminazione, ma non impedisce la sovrascrittura degli oggetti e può comunque essere aggirata da un utente malintenzionato con le credenziali MFA.