Os desenvolvedores estão proibidos de lançar infraestrutura de rede VPC. Sempre que um NAT gateway for criado, a equipe de segurança da rede deve ser alertada imediatamente para encerrá-lo. A solução deve ser fácil de implantar em várias contas AWS, ter sobrecarga administrativa mínima e fornecer um histórico de conformidade acessível. Qual solução satisfaz esses requisitos?

A criação de uma regra personalizada do AWS Config com uma ação de remediação do AWS Systems Manager Automation é a solução mais eficaz. O AWS Config monitora continuamente os recursos e pode detectar a criação de um NAT gateway, acionando a remediação automática para encerrá-lo e enviar um alerta. A implantação via AWS CloudFormation StackSets garante consistência e baixa sobrecarga administrativa em várias contas, e o AWS Config fornece um histórico de conformidade auditável. As outras opções são menos ideais: O script em EC2 exige gerenciamento de instâncias e cron jobs, aumentando a sobrecarga. A função Lambda com AWS SAM é uma boa opção para automação, mas o AWS Config oferece o histórico de conformidade nativo e a integração com remediação. O Amazon GuardDuty não detecta a criação de NAT gateways diretamente; ele se concentra em atividades maliciosas e anômalas.