セキュリティチームは、AWS CloudTrail ログファイルが配信後に変更されていないことを証明する方法を求めています。組織はすでに IAM を使用して、特定の証跡にアクセスできるユーザーを制限しています。配信された各 CloudTrail ファイルの整合性を保証および検証するための、最も運用効率の高い方法は何ですか？

CloudTrailの組み込みファイル整合性検証を有効にすると、CloudTrailはログファイルのハッシュを定期的に含むダイジェストファイルを生成します。セキュリティチームはこれらのダイジェストファイルを使用して、元のCloudTrailログファイルが変更されていないことを確認できます。これはCloudTrailのネイティブ機能であり、運用上のオーバーヘッドが最も少ない方法です。 Lambda関数を使用してMD5チェックサムを計算し、DynamoDBに保存したり、S3オブジェクトタグとしてアタッチしたりする方法は、カスタムソリューションであり、追加の開発とメンテナンスが必要です。CloudTrailのファイル整合性機能はS3バケットではなく、CloudTrailの証跡自体で有効にするものです。