Приложение работает на инстансе Amazon EC2 с прикрепленной ролью IAM, которая разрешает использование управляемого клиентом ключа AWS Key Management Service (AWS KMS) и доступ к бакету Amazon S3, содержащему 2 ТБ конфиденциальных данных. Инженер по безопасности обнаруживает потенциальную уязвимость на инстансе, которая может привести к утечке данных, но не может немедленно остановить инстанс. Какой самый быстрый способ предотвратить утечку конфиденциальных данных?

Правильный ответ — отозвать активные учетные данные сессии роли IAM, обновить политику бакета S3, чтобы явно запретить этой роли доступ, и удалить роль из профиля инстанса EC2. Это самый быстрый и эффективный способ предотвратить утечку данных, поскольку он немедленно лишает скомпрометированный инстанс EC2 возможности доступа к S3 и KMS. Отзыв учетных данных сессии немедленно делает их недействительными. Обновление политики бакета S3 добавляет дополнительный уровень защиты, а удаление роли из профиля инстанса EC2 предотвращает ее повторное использование. Копирование данных или перешифрование займет слишком много времени и не устранит немедленную угрозу. Блокировка доступа к S3 через файрвол хоста может быть обойдена или не полностью эффективна, если уязвимость позволяет выполнять код. Отключение ключа KMS и создание нового также займет время, и данные останутся доступными, пока не будут перешифрованы.