Firma korzysta z AWS Organizations i ma włączony AWS CloudTrail we wszystkich regionach. Inżynier bezpieczeństwa musi upewnić się, że CloudTrail nie może zostać wyłączony. Które rozwiązanie spełnia ten wymóg?

Poprawna odpowiedź to utworzenie polityki kontroli usług (SCP) z jawnym Deny dla akcji StopLogging i DeleteTrail, a następnie dołączenie jej do głównej jednostki organizacyjnej (OU). SCP są stosowane w AWS Organizations i umożliwiają centralne zarządzanie uprawnieniami dla wszystkich kont w organizacji. Jawne Deny w SCP nadpisuje wszelkie uprawnienia Allow, co gwarantuje, że nikt, nawet root, nie będzie mógł wyłączyć ani usunąć CloudTrail. Włączenie walidacji integralności plików dziennika CloudTrail z konta zarządzającego organizacji jest ważne dla bezpieczeństwa, ale nie zapobiega wyłączeniu CloudTrail. Szyfrowanie po stronie serwera za pomocą kluczy AWS KMS (SSE-KMS) dla dzienników CloudTrail chroni dane w spoczynku, ale również nie uniemożliwia wyłączenia usługi. Tworzenie polityk IAM dla wszystkich użytkowników, aby uniemożliwić im wykonywanie akcji DescribeTrails i GetTrailStatus, nie zapobiega wyłączeniu CloudTrail, a jedynie ogranicza możliwość sprawdzenia jego statusu.