Het bedrijf vereist dat alle AWS-accountactiviteit wordt gelogd met CloudTrail en dat een beheerder wordt gewaarschuwd wanneer CloudTrail-logbestanden worden gewijzigd of verwijderd. Hoe moet de SysOps-beheerder aan beide vereisten voldoen?

De correcte optie is om CloudTrail log file integrity validation in te schakelen en de AWS CLI-tools te gebruiken om de integriteit te verifiëren. CloudTrail log file integrity validation (logbestandsintegriteitsvalidatie) is specifiek ontworpen om te detecteren of logbestanden zijn gewijzigd of verwijderd nadat ze zijn afgeleverd. Deze functie maakt gebruik van cryptografische hashes om de integriteit van de logbestanden te garanderen. De AWS CLI biedt de aws cloudtrail verify-logs opdracht om deze validatie uit te voeren. De optie om de AWS CloudTrail Processing Library te gebruiken is onjuist omdat deze bibliotheek primair bedoeld is voor het verwerken en analyseren van CloudTrail-logbestanden, niet voor het verifiëren van hun integriteit op dezelfde manier als de ingebouwde validatiefunctie. CloudTrail Insights is onjuist omdat het zich richt op het automatisch detecteren van ongebruikelijke activiteit in uw AWS-account, niet op het verifiëren van de integriteit van de CloudTrail-logbestanden zelf. Het sturen van CloudTrail-logs naar Amazon CloudWatch Logs en het monitoren op bestandsaanpassingsgebeurtenissen is onjuist. Hoewel CloudWatch Logs nuttig is voor monitoring en alarmering, biedt het geen ingebouwd mechanisme voor cryptografische integriteitsvalidatie van de CloudTrail-logbestanden zoals de CloudTrail log file integrity validation dat doet.