Een bedrijf slaat alle AWS CloudTrail-logs centraal op in een Amazon S3-bucket die wordt beheerd door het beveiligingsteam. Het team moet ongeautoriseerde toegang voorkomen en elke manipulatie van de logs detecteren of voorkomen. Welke combinatie van acties moet worden geïmplementeerd? (Kies drie.)

Het inschakelen van server-side encryptie met AWS KMS managed encryption keys (SSE-KMS) op de S3-bucket beschermt de vertrouwelijkheid van de logs in rust. Het afdwingen van least-privilege toegang tot de S3-bucket via een bucket policy beperkt wie toegang heeft tot de logs, wat ongeautoriseerde toegang voorkomt. Het inschakelen van CloudTrail log file integrity validation is cruciaal omdat het een cryptografische hash van de logbestanden genereert en opslaat, waardoor elke wijziging of manipulatie van de logs kan worden gedetecteerd. Het comprimeren van logbestanden met gzip vermindert de opslagkosten, maar draagt niet bij aan beveiliging tegen ongeautoriseerde toegang of manipulatie. Een Amazon EventBridge-regel kan waarschuwen voor wijzigingen, maar voorkomt geen manipulatie en detecteert dit niet op dezelfde cryptografische manier als integriteitsvalidatie. Het inschakelen van Access Analyzer for S3 helpt bij het identificeren van onbedoelde externe toegang, maar is niet direct gericht op het voorkomen van manipulatie of het afdwingen van interne least-privilege toegang op de manier van een bucket policy.