Kuruluştaki herhangi bir üye hesabı bucket düzeyinde S3 Block Public Access'i devre dışı bırakırsa SecOps ekibinin bir SNS e-posta bildirimi alması gerekir. Çözüm, üye hesaplarındaki değişikliklere dayanmamalı ve üye hesaplarının bildirimi devre dışı bırakmasını engellemelidir. Hangi çözüm bu gereksinimleri karşılar?

Doğru cevap, AWS Config'i kuruluş genelinde etkinleştirmeyi, yetkilendirilmiş yönetici hesabında bir SNS konusu oluşturmayı ve SecOps e-postasını abone yapmayı, ardından her hesapta s3-bucket-level-public-access-prohibited yönetilen kuralını içeren bir uyumluluk paketi dağıtmayı ve ihlaller meydana geldiğinde SNS konusuna yayınlamak için bir SSM belgesi kullanmayı içerir. Bu çözüm, üye hesaplarının bildirimi devre dışı bırakmasını engeller çünkü AWS Config ve uyumluluk paketleri merkezi olarak yönetilir ve üye hesapları tarafından değiştirilemez. AWS Config, S3 Block Public Access ayarlarındaki değişiklikleri sürekli olarak izler ve bir ihlal tespit edildiğinde SSM belgesi aracılığıyla SNS konusuna bildirim gönderir. Diğer seçenekler bu gereksinimleri tam olarak karşılamaz: GuardDuty, S3 Block Public Access değişikliklerini doğrudan izlemez. CloudFormation StackSet, üye hesaplarının CloudTrail olaylarını dinlemesini gerektirir ve bu, üye hesapları tarafından devre dışı bırakılabilir. Amazon Inspector, S3 bucket'larının genel kullanıma açık olup olmadığını kontrol eder ancak S3 Block Public Access ayarlarındaki değişiklikleri doğrudan izlemez ve bu değişiklikleri önleyici bir şekilde ele almaz.