Het beveiligingsteam gebruikt handmatige AWS KMS-sleutelrotatie en heeft meldingen nodig wanneer klantensleutels langer dan 90 dagen niet zijn geroteerd. Welke oplossing bereikt dit?

De juiste oplossing is het ontwikkelen van een aangepaste AWS Config-regel. AWS Config kan de configuratie van AWS-resources monitoren en evalueren op naleving van beleidsregels. Een aangepaste regel kan worden geschreven om KMS-sleutels te identificeren die langer dan 90 dagen niet zijn geroteerd. Wanneer een dergelijke niet-conforme sleutel wordt gedetecteerd, kan AWS Config een melding sturen naar een Amazon SNS-onderwerp, dat vervolgens het beveiligingsteam informeert. De andere opties zijn minder geschikt: AWS KMS heeft geen ingebouwde functionaliteit om meldingen te publiceren over de rotatiestatus van handmatig geroteerde sleutels. EventBridge kan geen directe triggers genereren op basis van de rotatiestatus van KMS-sleutels zonder een onderliggende service die deze informatie levert. Trusted Advisor biedt wel checks, maar niet voor specifieke rotatieperioden van handmatig geroteerde KMS-sleutels. AWS Security Hub aggregeert bevindingen van andere beveiligingsdiensten, maar genereert zelf geen dergelijke specifieke rotatiemeldingen voor handmatig geroteerde KMS-sleutels.