Un team di sicurezza richiede un modo per dimostrare che i file di log di AWS CloudTrail non sono stati modificati dopo la consegna. L'organizzazione utilizza già IAM per limitare chi può accedere a particolari trail. Qual è il metodo più efficiente dal punto di vista operativo per garantire e convalidare l'integrità di ogni file CloudTrail consegnato?

L'opzione corretta è abilitare la convalida dell'integrità dei file integrata di CloudTrail. Questa funzionalità è progettata specificamente per garantire che i file di log non siano stati alterati dopo la consegna. CloudTrail genera file digest firmati che contengono hash di tutti i file di log consegnati, permettendo al team di sicurezza di verificare l'integrità dei log in modo efficiente e nativo. Le altre opzioni sono meno efficienti o non adatte: Configurare una regola EventBridge per attivare una funzione Lambda che calcola un checksum MD5 e lo salva in DynamoDB è un approccio manuale e complesso che replica una funzionalità già offerta da CloudTrail. Non è operativamente efficiente. Creare una funzione Lambda per calcolare un checksum MD5 e allegarlo come tag all'oggetto S3 è simile al punto precedente, aggiungendo complessità e costi per una funzionalità già disponibile. Attivare la funzionalità di integrità dei file di CloudTrail sul bucket S3 e creare una policy IAM per leggere i log di integrità è fuorviante; la funzionalità di integrità è abilitata a livello di trail, non solo sul bucket, e i "log di integrità" non sono il meccanismo principale per la convalida, bensì i file digest.