Audyt bezpieczeństwa wykazał, że zespół programistów umieścił klucze tajnego dostępu użytkownika IAM w kodzie aplikacji w repozytorium AWS CodeCommit. Zespół ds. bezpieczeństwa chce zautomatyzowanego mechanizmu do wykrywania i usuwania tych ujawnionych poświadczeń, tak aby były one automatycznie zabezpieczane. Które rozwiązanie zapewni automatyczne wykrywanie i usuwanie poświadczeń?

Poprawna odpowiedź to skonfigurowanie triggera CodeCommit, który wywoła funkcję AWS Lambda przy każdym przesłaniu kodu. Lambda może skanować nowe commity w poszukiwaniu poświadczeń. W przypadku ich znalezienia, Lambda automatycznie wyłączy ujawnione poświadczenia IAM i powiadomi odpowiednie osoby. To rozwiązanie zapewnia automatyczne wykrywanie i natychmiastowe reagowanie na ujawnione poświadczenia w repozytorium, minimalizując ryzyko. Pozostałe opcje są mniej efektywne: Codzienne skanowanie instancji deweloperskich za pomocą Systems Manager Run Command nie wykryje poświadczeń w repozytorium CodeCommit. Skanowanie całego repozytorium CodeCommit przez funkcję Lambda jest możliwe, ale wyzwalanie jej na każde przesłanie kodu jest bardziej proaktywne i efektywne. Przechowywanie nowych poświadczeń w KMS nie rozwiązuje problemu ujawnionych poświadczeń. Amazon Macie nie obsługuje bezpośrednio skanowania repozytoriów CodeCommit w poszukiwaniu poświadczeń.