Een bedrijf slaat gevoelige data op in een Amazon S3-bucket die is versleuteld met server-side encryptie met Amazon S3 managed keys (SSE-S3). Een security engineer moet elke wijziging aan de objecten voorkomen. Welke oplossing voldoet aan deze vereiste?

De juiste oplossing is het inschakelen van S3 Object Lock in Compliance-modus in combinatie met S3-bucket versioning. S3 Object Lock in Compliance-modus voorkomt dat een object wordt overschreven of verwijderd door welke gebruiker dan ook, inclusief de root-gebruiker, gedurende een door u opgegeven retentieperiode. Versioning is essentieel omdat Object Lock op objectversies werkt; zonder versioning kan Object Lock niet effectief wijzigingen aan objecten voorkomen. Een S3-bucketbeleid dat s3:DeleteObject en s3:PutObject expliciet weigert, kan worden omzeild door gebruikers met voldoende IAM-machtigingen of door de root-gebruiker. Het wijzigen van de bucketversleuteling naar SSE-KMS verhoogt de controle over de sleutels, maar voorkomt op zichzelf geen wijzigingen of verwijderingen van objecten. MFA Delete voegt een extra beveiligingslaag toe voor het verwijderen van objecten, maar voorkomt niet het overschrijven van objecten en kan nog steeds worden omzeild door een kwaadwillende actor met de juiste MFA-code.