Een beveiligingsaudit heeft verschillende niet-versleutelde Amazon EBS volumes gevonden die zijn gekoppeld aan duizenden EC2 instances in een bedrijfsaccount. Het bedrijfsbeleid schrijft EBS volumeversleuteling voor. Het bedrijf heeft een geautomatiseerde oplossing nodig om bestaande niet-versleutelde volumes te versleutelen en om te voorkomen dat ontwikkelingsteams niet-versleutelde volumes aanmaken. Welke oplossing voldoet aan deze vereisten?

De correcte oplossing combineert detectie, herstel en preventie effectief. AWS Config detecteert niet-versleutelde EBS-volumes en de automatische herstelactie, via een Systems Manager Automation runbook, zorgt voor het aanmaken van versleutelde vervangingen. Dit pakt de bestaande niet-versleutelde volumes aan. Het wijzigen van de AWS accountinstelling voor EBS-versleuteling is cruciaal voor preventie, omdat het afdwingt dat alle nieuwe volumes standaard versleuteld zijn, waardoor ontwikkelingsteams geen niet-versleutelde volumes meer kunnen aanmaken. De andere opties zijn minder effectief. Het gebruik van een KMS key policy om het aanmaken van niet-versleutelde volumes te weigeren is niet de standaardmethode voor accountbrede preventie. Service Control Policies (SCP's) kunnen preventie bieden, maar zijn complexer voor dit specifieke scenario dan de accountinstelling. Fleet Manager is primair voor beheer van EC2 instances, niet voor het detecteren of afdwingen van EBS-versleuteling.