Bir güvenlik mühendisi, bir hesaptaki tüm AWS Bölgeleri için bir AWS CloudTrail izi kuruyor. Ek güvenlik için, günlükler AWS KMS (SSE-KMS) ile sunucu tarafı şifrelemesi ve günlük dosyası bütünlük doğrulaması kullanır. Test sırasında mühendis, özet dosyalarını okuyabilir ancak günlük dosyalarını okuyamaz. Bunun en olası nedeni nedir?

Mühendis özet dosyalarını okuyabilirken günlük dosyalarını okuyamıyorsa, bu durum genellikle günlük dosyalarının şifresini çözmek için gerekli izinlerin eksikliğinden kaynaklanır. CloudTrail günlükleri SSE-KMS ile şifrelendiğinden, mühendisin IAM kullanıcısı veya rolü, günlükleri şifrelemek için kullanılan KMS anahtarında kms:Decrypt iznine sahip olmalıdır. KMS anahtar politikası bu izni vermediği için mühendis şifrelenmiş günlük dosyalarını okuyamaz. Günlük dosyası bütünlük doğrulaması, dosyaların değiştirilip değiştirilmediğini kontrol eder ancak okuma iznini doğrudan etkilemez. S3 bucket'ı SSE-S3 ile yapılandırılmış olsa bile, SSE-KMS ile şifrelenmiş nesneleri kabul edebilir. IAM politikası 'CloudTrail/' önekine erişimi reddetseydi, mühendis özet dosyalarını da okuyamazdı.