Hassas bilgiler depolayan, AWS'de barındırılan bir uygulama geliştiren bir şirket var. Destek ekibinin veritabanları da dahil olmak üzere altyapı erişimi bulunuyor. Güvenlik mühendisi, operasyonel yükü en aza indirirken hassas verileri ihlallere karşı korumalı ve kimlik bilgilerinin düzenli olarak döndürülmesini sağlamalıdır. Güvenlik mühendisi ne önermelidir?

Doğru seçenek, hassas verileri korumak ve kimlik bilgilerini yönetmek için en iyi uygulamaları bir araya getirir. Amazon RDS şifrelemesi ve Amazon EBS şifrelemesi, hem veritabanı hem de EC2 örneklerinde depolanan verilerin şifrelenmesini sağlayarak veri ihlali riskini azaltır. AWS Secrets Manager, kimlik bilgilerini güvenli bir şekilde saklar ve otomatik döndürme özelliği sayesinde operasyonel yükü en aza indirirken güvenlik duruşunu iyileştirir. TLS, veritabanı bağlantılarının şifrelenmesini sağlayarak iletimdeki veriyi korur. Diğer seçenekler neden yanlış: Birinci seçenek, kimlik bilgilerini EC2 kullanıcı verisine yerleştirmeyi önerir ki bu, hassas bilgiler için güvenli olmayan bir yöntemdir. İkinci seçenek, üçüncü taraf disk şifrelemesi ve AWS CloudHSM'de kimlik bilgisi depolama önerir. CloudHSM, Secrets Manager'a göre daha yüksek bir operasyonel yük getirir ve bu senaryo için genellikle gereksizdir. Dördüncü seçenek, kimlik bilgilerini AWS Systems Manager Parameter Store'da saklamayı önerir. Parameter Store, Secrets Manager kadar gelişmiş otomatik döndürme yeteneklerine sahip değildir ve hassas kimlik bilgileri için Secrets Manager tercih edilmelidir. Ayrıca, KMS anahtarlarını depolamak için CloudHSM kümesi kurmak, bu senaryo için aşırı karmaşık ve maliyetlidir.