Een bedrijf draait een applicatie op Amazon EC2-instances die vertrouwelijke klantgegevens verwerken. Het bedrijf moet de toegang beperken en staat het openen van inkomende poorten, het onderhouden van bastion hosts of het beheren van SSH-sleutels niet toe. Een beveiligingsengineer heeft veilige toegang tot de instances nodig en wil volledig versleutelde sessielogs vastleggen, opslaan en openen. Welke oplossing voldoet aan deze vereisten?

De juiste oplossing is het gebruik van AWS Systems Manager Session Manager. Session Manager biedt veilige, auditeerbare toegang tot EC2-instances zonder open inkomende poorten, bastion hosts of het beheer van SSH-sleutels, wat voldoet aan de gestelde beperkingen. Door CloudWatch logging te configureren en het uploaden van sessielogs in te schakelen naar versleutelde CloudWatch Logs loggroepen, worden sessielogs volledig versleuteld vastgelegd, opgeslagen en toegankelijk gemaakt, wat voldoet aan de vereisten voor auditing en beveiliging. AWS Control Tower en Security Hub zijn beheer- en beveiligingsdiensten die geen directe verbinding met EC2-instances mogelijk maken zoals Session Manager dat doet. De optie die spreekt over "CloudWatch monitoring om sessies op te nemen" is onjuist; CloudWatch Logs wordt gebruikt voor het opslaan van sessielogs, niet CloudWatch Monitoring.