Een bedrijf gebruikt Amazon Simple Notification Service (Amazon SNS)-topics om berichten van applicatiecomponenten naar aangepaste logging services te publiceren. Het bedrijf is bezorgd dat gevoelige gegevens kunnen worden gepubliceerd en vervolgens kunnen worden blootgesteld in transactie- en debuglogs. Welke oplossing beschermt gevoelige gegevens in deze SNS-berichten tegen onbedoelde blootstelling?

De juiste optie is om een inbound message data protection policy te configureren voor de SNS-topics en de De-identify-bewerking toe te voegen. Deze functionaliteit van Amazon SNS is specifiek ontworpen om gevoelige gegevens in berichten te detecteren en te maskeren voordat ze worden gepubliceerd, waardoor onbedoelde blootstelling in logbestanden wordt voorkomen. De andere opties zijn minder effectief of niet geschikt voor dit specifieke probleem: Amazon Macie scant op gevoelige gegevens, maar doet dit na publicatie en is primair gericht op S3-buckets, niet direct op realtime SNS-berichten. Het maskeren via Lambda zou te laat zijn. Server-side encryptie met AWS KMS versleutelt de berichten tijdens opslag en transport, maar de inhoud is nog steeds leesbaar voor geautoriseerde ontvangers wanneer deze wordt ontsleuteld, wat het probleem van blootstelling in logs niet oplost. Amazon GuardDuty detecteert bedreigingen en afwijkingen, maar is niet ontworpen om gevoelige gegevens in SNS-berichten te maskeren of de levering ervan te blokkeren op basis van inhoud.