Компания использует AWS Organizations, и во всех регионах включен AWS CloudTrail. Инженер по безопасности должен убедиться, что CloudTrail невозможно отключить. Какое решение соответствует этому требованию?

Правильный ответ — создание политики управления сервисами (SCP) с явным запретом (Deny) для действий StopLogging и DeleteTrail, прикрепленной к корневому OU. SCP применяются ко всем учетным записям в организации, включая управляющую учетную запись, и переопределяют любые разрешения IAM. Явный запрет в SCP гарантирует, что никто не сможет отключить или удалить CloudTrail. Остальные варианты не обеспечивают требуемый уровень защиты: Включение проверки целостности файлов журналов CloudTrail или шифрования SSE-KMS повышает безопасность журналов, но не предотвращает отключение или удаление CloudTrail. Создание политик IAM, запрещающих действия DescribeTrails и GetTrailStatus, не предотвращает отключение CloudTrail; это лишь ограничивает видимость его статуса. Кроме того, политики IAM могут быть переопределены администраторами или другими политиками.