Una funzione AWS Lambda è stata utilizzata impropriamente per modificare i dati. Un ingegnere della sicurezza deve identificare chi ha invocato la funzione e cosa ha restituito. Tuttavia, non ci sono log della funzione in Amazon CloudWatch Logs. Quale spiegazione giustifica l'assenza dei log?

La risposta corretta è che il ruolo di esecuzione della funzione Lambda non include le autorizzazioni per scrivere i log in CloudWatch Logs. Per impostazione predefinita, le funzioni Lambda necessitano di autorizzazioni specifiche (tramite un ruolo IAM) per inviare i log a CloudWatch Logs. Se queste autorizzazioni mancano, non verranno generati log per le invocazioni della funzione, rendendo impossibile tracciare chi l'ha invocata e cosa ha restituito. Le altre opzioni sono errate perché: L'invocazione tramite API Gateway non impedisce la registrazione in CloudWatch Logs; API Gateway stesso può avere log, ma la funzione Lambda dovrebbe comunque registrare le proprie attività. CloudWatch Logs non utilizza un bucket S3 per archiviare i log delle funzioni Lambda direttamente; i log vengono archiviati nel servizio CloudWatch Logs stesso. L'invocazione di una versione obsoleta non impedirebbe la generazione dei log se il ruolo di esecuzione avesse le autorizzazioni necessarie.