A Fabrikam Health já usa a regra gerenciada do AWS Config restricted-ssh para detectar grupos de segurança que permitem 0.0.0.0/0 em TCP/22. Eles querem uma correção automática em até um minuto que remova a entrada ofensiva assim que a regra relatar NON_COMPLIANT. Qual é a abordagem mais adequada?

A abordagem mais adequada envolve o uso do EventBridge para reagir a eventos de não conformidade do AWS Config em tempo real. Ao configurar uma regra do EventBridge para monitorar o evento "Config Rules Compliance Change" com ruleName "restricted-ssh" e complianceType "NONCOMPLIANT", você garante que a correção seja acionada imediatamente após a detecção da não conformidade. A função Lambda invocada por essa regra pode então usar a API RevokeSecurityGroupIngress para remover a entrada ofensiva (0.0.0.0/0 na porta 22), proporcionando uma correção automática e rápida. As outras opções são menos adequadas porque: Criar uma regra personalizada do AWS Config que invoca uma função Lambda somente quando o resultado da avaliação é COMPLIANT não corrigiria a não conformidade. Usar uma regra agendada do EventBridge a cada hora não atende ao requisito de correção "em até um minuto". O AWS Firewall Manager é uma ferramenta poderosa, mas exige configuração de políticas e não garante a remoção imediata sem configuração adicional para este cenário específico de correção reativa.