CloudTrail включен и доставляет файлы журналов в бакет Amazon S3. Команда эксплуатации обеспокоена тем, что доставленные файлы журналов могут быть изменены после попадания в бакет. Как администратор может убедиться, что отдельные файлы журналов CloudTrail не были изменены после доставки?

Включение проверки целостности файлов журналов CloudTrail и использование файлов дайджестов — это рекомендуемый метод обеспечения неизменности журналов. CloudTrail регулярно создает файлы дайджестов, содержащие хеши всех доставленных файлов журналов за определенный период. Вы можете использовать эти файлы дайджестов для проверки целостности каждого файла журнала, подтверждая, что он не был изменен. Передача событий CloudTrail в CloudWatch Logs создает вторую копию, но не предоставляет механизм для криптографической проверки целостности исходных файлов в S3. Репликация бакета S3 в другой регион и шифрование защищают от потери данных и несанкционированного доступа, но не подтверждают, что исходные файлы не были изменены. Включение логирования доступа к серверу S3 для бакета журналов записывает запросы к бакету, что полезно для аудита доступа, но не для проверки целостности самих файлов журналов.