A empresa impõe uma regra de que nenhum security group deve permitir SSH de 0.0.0.0/0. Um administrador SysOps deve implementar uma solução que alerte a equipe de operações quando um security group violar essa regra e deve corrigir automaticamente a regra ofensora. Qual projeto satisfaz ambos os requisitos?

A opção correta utiliza a regra gerenciada restricted-ssh do AWS Config, que é projetada especificamente para detectar grupos de segurança que permitem SSH (porta 22) de 0.0.0.0/0. Ao anexar a remediação automática AWS-DisablePublicAccessForSecurityGroup via Systems Manager Automation, a regra ofensora é corrigida automaticamente. A integração com o EventBridge para notificar a equipe SysOps quando a regra do Config se torna não compatível garante que a equipe seja alertada sobre a violação. As outras opções são menos eficazes ou mais complexas. A primeira opção, usando EventBridge e Lambda, exige que o administrador crie e mantenha a lógica de validação e correção, o que já é fornecido pela regra gerenciada do Config. A segunda e a quarta opções, baseadas em CloudTrail e CloudWatch, detectam modificações, mas a correção automática via Systems Manager Automation diretamente de um alarme do CloudWatch para AWS-DisablePublicAccessForSecurityGroup não é a forma mais direta ou robusta de aplicar a remediação específica para restricted-ssh como o AWS Config oferece. Além disso, a regra do Config fornece um monitoramento contínuo, não apenas na modificação.