Een beveiligingsaudit heeft uitgewezen dat een ontwikkelteam geheime toegangssleutels van IAM-gebruikers in applicatiecode heeft vastgelegd in een AWS CodeCommit-repository. Het beveiligingsteam wil een geautomatiseerd mechanisme om deze blootgestelde referenties te detecteren en te herstellen, zodat ze automatisch worden beveiligd. Welke oplossing zorgt ervoor dat referenties automatisch worden ontdekt en hersteld?

De juiste oplossing is het configureren van een CodeCommit-trigger om een AWS Lambda-functie aan te roepen bij elke code-indiening. Deze Lambda-functie kan de nieuwe commits scannen op referenties. Als referenties worden gevonden, kunnen de betreffende IAM-referenties automatisch worden uitgeschakeld en kan de gebruiker worden geïnformeerd. Dit biedt een geautomatiseerde, real-time detectie en herstel van blootgestelde referenties, direct bij het inchecken van code. De andere opties zijn minder effectief: Dagelijks een script uitvoeren via Systems Manager is niet real-time en mist referenties die tussen scans door worden ingecheckt. Een Lambda-functie plannen om de repository te downloaden en te scannen is ook niet real-time en het opslaan van nieuwe referenties in KMS lost het probleem van blootgestelde referenties niet op, maar creëert nieuwe. Amazon Macie is primair ontworpen voor het ontdekken van gevoelige gegevens in S3 en andere datastores, niet voor het scannen van CodeCommit-repositories op hardgecodeerde referenties in code.