Firma wymaga, aby cała aktywność na koncie AWS była rejestrowana za pomocą CloudTrail i aby administrator był powiadamiany, gdy pliki dziennika CloudTrail zostaną zmienione lub usunięte. W jaki sposób administrator SysOps powinien spełnić oba wymagania?

Poprawna odpowiedź to włączenie walidacji integralności plików dziennika CloudTrail i użycie narzędzi AWS CLI do weryfikacji. Walidacja integralności CloudTrail używa funkcji هشowania i podpisu cyfrowego do określenia, czy plik dziennika został zmieniony lub usunięty po dostarczeniu. To spełnia wymaganie powiadamiania o zmianach. Narzędzia AWS CLI (lub SDK) są przeznaczone do programowej weryfikacji tych dzienników. Pozostałe opcje są nieprawidłowe: AWS CloudTrail Processing Library służy do przetwarzania i analizowania dzienników, a nie do weryfikacji ich integralności. CloudTrail Insights służy do automatycznego wykrywania nietypowej aktywności w API, a nie do monitorowania integralności samych plików dziennika CloudTrail. Wysyłanie dzienników do CloudWatch Logs i monitorowanie ich pod kątem zdarzeń modyfikacji plików nie zapewnia mechanizmu weryfikacji integralności, który CloudTrail oferuje natywnie.