Een bedrijf draait applicaties op Amazon RDS for MySQL. Een beveiligingsaudit heeft een RDS DB-instance gevonden die niet versleuteld is at rest, wat in strijd is met het beleid. De beveiligingsengineer moet alle bestaande RDS-databases versleutelen met server-side encryptie en toekomstige niet-conforme creaties detecteren. Welke combinatie van acties voldoet aan deze vereisten? (Kies twee.)

De correcte antwoorden pakken beide aspecten van de vraag aan: het versleutelen van bestaande databases en het detecteren van toekomstige non-conformiteit. Het maken van een snapshot, kopiëren met encryptie en herstellen naar een nieuwe instance is de enige manier om een bestaande, niet-versleutelde RDS DB-instance te versleutelen, aangezien encryptie niet direct op een actieve instance kan worden ingeschakeld. Een AWS Config-regel is de juiste service om de creatie van niet-versleutelde RDS DB-instances te detecteren en te monitoren. In combinatie met EventBridge en SNS kan dit het security operations-team proactief waarschuwen bij non-conformiteit. Het inschakelen van encryptie op een bestaande instance door de configuratie te wijzigen is niet mogelijk. Het maken van een read replica met encryptie werkt niet voor standalone instances en is geen algemene oplossing voor het versleutelen van de bron. AWS Systems Manager State Manager is niet primair ontworpen voor het detecteren van RDS-encryptie-drift op deze manier.