Je controleert de beveiliging van een Lambda-functie die de nieuwste wijzigingen ophaalt uit een Amazon Aurora-database. Zowel Lambda als de DB bevinden zich in dezelfde VPC. Database-referenties worden geleverd via Lambda-omgevingsvariabelen. De Lambda-functie aggregeert gegevens en schrijft deze naar een S3-bucket die is versleuteld met SSE-KMS. Gegevens mogen het internet niet oversteken. Als database-referenties worden gecompromitteerd, wil het bedrijf de impact minimaliseren. Wat moet je aanbevelen?

De juiste optie minimaliseert de impact van gecompromitteerde database-referenties door IAM-database-authenticatie te gebruiken. Dit elimineert de noodzaak om referenties op te slaan in omgevingsvariabelen, wat een beveiligingsrisico is. De Lambda-functie authenticeert dan met zijn IAM-rol, wat een veiliger mechanisme is. Een gateway VPC-endpoint voor S3 zorgt ervoor dat verkeer naar S3 binnen de AWS-backbone blijft en niet over het internet gaat, wat voldoet aan de vereiste dat gegevens het internet niet mogen oversteken. De andere opties zijn minder optimaal: Het afdwingen van HTTPS voor S3-verbindingen is een goede gewoonte, maar lost het probleem van het oversteken van het internet niet op en pakt het primaire beveiligingsrisico van database-referenties in omgevingsvariabelen niet aan. Het opslaan van referenties in Parameter Store of Secrets Manager is een verbetering ten opzichte van omgevingsvariabelen, maar IAM-database-authenticatie is de meest veilige methode omdat er helemaal geen referenties hoeven te worden opgeslagen of opgehaald door de Lambda-functie. Bovendien missen deze opties de noodzakelijke VPC-endpoint voor S3 om internettoegang te voorkomen.