Bir şirket, Amazon EC2 örnekleri üzerinde hassas verileri işleyecek ve geliştirici sorun giderme için günlük dosyalarını toplamak, depolamak ve erişmek amacıyla Amazon CloudWatch Logs'u kullanacaktır. Bir güvenlik mühendisi, geliştiricilerin günlüklerdeki hassas verileri görüntülemesini engellemeli ve bu kontrol tüm yeni günlük gruplarına otomatik olarak uygulanmalıdır. Bu gereksinimleri hangi çözüm karşılayacaktır?

Doğru cevap, hesap genelinde bir CloudWatch Logs veri koruma politikası oluşturarak ve uygun veri tanımlayıcılarını belirterek hassas verilerin otomatik olarak maskelenmesini sağlar. Geliştiricilerin logs:Unmask IAM iznine sahip olmaması, maskelenmiş verileri görmelerini engeller. Bu yaklaşım, tüm yeni günlük gruplarına otomatik olarak uygulanır ve ölçeklenebilir bir çözüm sunar. Diğer seçenekler neden yanlış: CloudWatch Logs verilerini Amazon S3'e aktarmak ve Macie kullanmak, verileri maskelemez, yalnızca keşfeder. Ayrıca, geliştiricilerin CloudWatch Logs erişimini kaldırmak sorun gidermeyi zorlaştırır. Her günlük grubu için ayrı ayrı politika oluşturmak, "tüm yeni günlük gruplarına otomatik olarak uygulanmalı" gereksinimini karşılamaz ve yönetim yükünü artırır.