Een beveiligingsteam heeft een manier nodig om te bewijzen dat AWS CloudTrail-logbestanden na levering niet zijn gewijzigd. De organisatie gebruikt al IAM om te beperken wie toegang heeft tot specifieke trails. Wat is de MEEST operationeel efficiënte methode om de integriteit van elk geleverd CloudTrail-bestand te garanderen en te valideren?

De meest operationeel efficiënte methode is het inschakelen van de ingebouwde bestandsintegriteitsvalidatie van CloudTrail. CloudTrail genereert digest-bestanden die periodiek worden geleverd aan de S3-bucket. Deze digest-bestanden bevatten hashes van de logbestanden die gedurende die periode zijn geleverd, samen met de digitale handtekening van AWS. Het beveiligingsteam kan deze digest-bestanden gebruiken om de integriteit van de CloudTrail-logbestanden te verifiëren, wat bewijst dat ze niet zijn gewijzigd na levering. De andere opties vereisen het bouwen en onderhouden van aangepaste oplossingen (Lambda-functies, EventBridge-regels, DynamoDB-tabellen of S3-objecttags), wat minder operationeel efficiënt is dan het gebruik van de ingebouwde functionaliteit van CloudTrail. Het inschakelen van de bestandsintegriteitsfunctionaliteit op de S3-bucket zelf is geen standaard CloudTrail-functie voor logintegriteit.