Een bedrijf bouwt een AWS-gehoste applicatie die gevoelige informatie opslaat. Het supportteam heeft infrastructuurtoegang, inclusief databases. De security engineer moet de gevoelige data beschermen tegen inbreuken, de operationele overhead minimaliseren en credentials moeten regelmatig rouleren. Wat moet de security engineer aanbevelen?

De correcte optie beveiligt gevoelige data effectief en minimaliseert operationele overhead. Amazon RDS-encryptie voor de database en snapshots beschermt data-at-rest. EBS-encryptie op EC2-instances beveiligt data op de compute-laag. AWS Secrets Manager met automatische rotatie is de aanbevolen AWS-service voor het veilig opslaan en roteren van credentials, wat de operationele overhead minimaliseert. TLS voor databaseverbindingen zorgt voor data-in-transit-encryptie. De eerste optie is onveilig omdat het plaatsen van credentials in EC2 user data een beveiligingsrisico vormt; deze zijn gemakkelijk toegankelijk. De tweede optie is minder efficiënt en veilig; het installeren van een database op EC2 brengt meer beheer met zich mee, en encryptie van derden kan complexer zijn dan native AWS-diensten. AWS CloudHSM voor credentials is overkill en duurder dan Secrets Manager voor dit scenario. De vierde optie stelt voor om KMS-sleutels op te slaan in CloudHSM, wat geen standaardpraktijk is; KMS beheert zijn eigen sleutels. Het gebruik van Systems Manager Parameter Store voor credentials met automatische rotatie is mogelijk, maar Secrets Manager is specifiek ontworpen voor dit doel en biedt robuustere functionaliteit voor credentialbeheer.