Zespół bezpieczeństwa musi być powiadamiany tylko wtedy, gdy zasobnik Amazon S3 zostanie publicznie udostępniony na nowo nabytym koncie AWS. Firma posiada już temat SNS z subskrypcją e-mail zespołu bezpieczeństwa. Które podejście wyśle powiadomienia tylko wtedy, gdy zasobnik zostanie publicznie udostępniony?

Prawidłowa odpowiedź to utworzenie analizatora IAM Access Analyzer i reguły Amazon EventBridge. IAM Access Analyzer automatycznie monitoruje zasoby, takie jak zasobniki S3, w poszukiwaniu publicznego dostępu. Generuje on wyniki, gdy wykryje publiczny dostęp. Reguła EventBridge może być skonfigurowana do przechwytywania tych wyników (typ zdarzenia „Access Analyzer Finding”) i filtrowania ich pod kątem „isPublic: true”, co oznacza publiczny dostęp. Następnie reguła EventBridge może wysłać powiadomienie do tematu SNS zespołu bezpieczeństwa. Pozostałe opcje są nieprawidłowe: Powiadomienia o zdarzeniach S3 nie mają wbudowanej funkcji wykrywania publicznego dostępu w taki sposób, jak Access Analyzer. Filtrowanie wywołań API „PutBucketPolicy” za pomocą EventBridge może być zbyt szerokie, ponieważ nie każde użycie PutBucketPolicy oznacza publiczny dostęp, a także nie obejmuje innych sposobów upublicznienia zasobnika (np. ACL). Włączenie AWS Config z regułą cloudtrail-s3-dataevents-enabled monitoruje zdarzenia danych CloudTrail, ale nie jest to bezpośredni mechanizm do wykrywania publicznego dostępu do zasobnika w czasie rzeczywistym i powiadamiania o nim w sposób tak precyzyjny jak Access Analyzer.