Os desenvolvedores usam instâncias Linux EC2 como bastion hosts com acesso SSH restrito por regras de security group a endereços IP específicos. A equipe de segurança deve ser notificada se essas regras de security group forem alteradas para permitir SSH de qualquer endereço IP (0.0.0.0/0). O que o engenheiro de DevOps deve implementar para satisfazer esse requisito?

A opção correta é criar uma regra do AWS Config usando a regra gerenciada restricted-ssh. Esta regra é projetada especificamente para identificar security groups que permitem tráfego SSH de entrada irrestrito (0.0.0.0/0). Ao detectar uma violação, o AWS Config pode ser configurado para enviar uma notificação via Amazon SNS, cumprindo o requisito de alertar a equipe de segurança sobre a alteração. A primeira opção está incorreta porque, embora o EventBridge possa detectar o evento AuthorizeSecurityGroupIngress via CloudTrail, ele não valida se a alteração específica é para 0.0.0.0/0 sem uma filtragem mais complexa e não oferece a verificação de conformidade intrínseca do AWS Config. A segunda opção, GuardDuty, foca em detecção de ameaças e atividades maliciosas, não em monitoramento de conformidade de security groups. A quarta opção, Amazon Inspector, é uma ferramenta de avaliação de vulnerabilidades em instâncias e aplicações, não de monitoramento de regras de security group.