Een AWS Lambda-functie is misbruikt om gegevens te wijzigen. Een beveiligingsengineer moet identificeren wie de functie heeft aangeroepen en wat deze heeft geretourneerd. Er zijn echter geen logs van de functie in Amazon CloudWatch Logs. Welke verklaring verklaart de ontbrekende logs?

De correcte verklaring is dat de uitvoeringsrol van de Lambda-functie geen machtigingen heeft om logs naar CloudWatch Logs te schrijven. Lambda-functies gebruiken een IAM-uitvoeringsrol om toegang te krijgen tot andere AWS-services. Als deze rol niet de benodigde machtigingen (zoals logs:CreateLogGroup, logs:CreateLogStream, logs:PutLogEvents) heeft, kan de functie geen logs naar CloudWatch Logs sturen, wat resulteert in ontbrekende loggegevens. De optie over Amazon API Gateway is onjuist; API Gateway kan worden geconfigureerd om toeganglogs te sturen naar CloudWatch Logs, maar dit staat los van de applicatielogs van de Lambda-functie zelf. De optie over een S3-bucket is onjuist; CloudWatch Logs slaat logs intern op en gebruikt geen door de gebruiker beheerde S3-buckets voor zijn primaire logopslag. Een verouderde versie van de Lambda-functie zou nog steeds logs genereren als de uitvoeringsrol correct was geconfigureerd.