Bir uygulama, iliştirilmiş bir IAM rolüyle bir Amazon EC2 örneğinde çalışır. Bu rol, bir AWS Key Management Service (AWS KMS) müşteri tarafından yönetilen anahtarının kullanımına ve 2 TB hassas veri içeren bir Amazon S3 bucket'ına erişime izin verir. Bir güvenlik mühendisi, örnek üzerinde verileri ifşa edebilecek potansiyel bir güvenlik açığı keşfeder ancak örneği hemen durduramaz. Hassas verilerin ifşa edilmesini önlemenin en hızlı yolu nedir?

En hızlı çözüm, tehlikeye atılan EC2 örneğinin hassas verilere erişimini hemen kesmektir. IAM rolünün aktif oturum kimlik bilgilerini iptal etmek, mevcut kimlik bilgilerini geçersiz kılar. S3 bucket politikasını güncelleyerek bu rolü açıkça reddetmek, rolün S3'e erişimini engeller. Rolü EC2 instance profile'dan kaldırmak, örneğin bu rolü bir daha üstlenmesini önler. Bu adımlar, örneğin S3 bucket'ına ve KMS anahtarına erişimini anında sonlandırarak veri ifşasını durdurur. Diğer seçenekler ya daha uzun sürer ya da tam koruma sağlamaz: Verileri kopyalamak ve yeniden şifrelemek zaman alıcıdır ve bu süreçte veriler hala risk altında olabilir. Host tabanlı güvenlik duvarı, S3 endpoint'lerine erişimi engelleyebilir ancak KMS anahtarına erişimi durdurmaz ve yapılandırması karmaşık olabilir. KMS anahtarını devre dışı bırakmak ve verileri yeniden şifrelemek de zaman alıcı bir süreçtir ve anında koruma sağlamaz.