Un team di sicurezza sta creando una soluzione di alerting basata su Amazon EventBridge per rilevare nuovi oggetti Amazon S3 con accesso pubblico e qualsiasi modifica alla policy o alle impostazioni dei bucket S3 che renda i dati pubblici. EventBridge è in ascolto di specifici eventi API AWS CloudTrail e invia immediatamente i dettagli al team tramite Amazon Simple Notification Service (Amazon SNS). Il team ha configurato EventBridge per corrispondere agli eventi s3:PutObjectAcl, s3:DeleteBucketPolicy e s3:PutBucketPolicy. Durante i test (con gli eventi di gestione di CloudTrail abilitati nella stessa Regione e un pattern di eventi verificato), EventBridge si attiva per s3:DeleteBucketPolicy e s3:PutBucketPolicy ma non per s3:PutObjectAcl. Il team deve assicurarsi che s3:PutObjectAcl generi un evento EventBridge senza causare notifiche false. Cosa dovrebbe fare?

L'opzione corretta è abilitare la registrazione degli eventi dati di CloudTrail per le operazioni di lettura e scrittura degli oggetti S3. Gli eventi s3:PutObjectAcl sono eventi a livello di dati, non eventi di gestione. CloudTrail registra gli eventi di gestione per impostazione predefinita, ma gli eventi dati devono essere abilitati esplicitamente. Senza l'abilitazione degli eventi dati, CloudTrail non registrerà s3:PutObjectAcl, impedendo a EventBridge di rilevarli. Le altre opzioni sono errate perché: Aggiornare la regola EventBridge per utilizzare la sorgente eventi Amazon S3 e selezionare Tutti gli eventi o Operazioni a livello di bucket non risolverà il problema se CloudTrail non sta registrando l'evento in primo luogo. EventBridge si basa su CloudTrail per questi tipi di eventi API. Abilitare AWS CloudTrail Insights è per rilevare attività API insolite e non influisce sulla registrazione degli eventi dati specifici.