Uma empresa deve reter dados do Amazon CloudWatch Logs por 90 dias e receber um alerta no AWS Security Hub quando qualquer política de retenção de log group estiver em não conformidade. Qual solução fornece as notificações necessárias?

A resposta correta é usar uma regra gerenciada do AWS Config porque o AWS Config é o serviço projetado para avaliar e monitorar a conformidade dos recursos da AWS com as políticas de segurança e governança. A regra gerenciada cloudwatch-log-group-retention-period-check verifica especificamente se os grupos de logs do CloudWatch Logs têm o período de retenção configurado conforme o esperado. Ao integrar o AWS Config com o Security Hub, quaisquer não conformidades detectadas por essa regra serão automaticamente enviadas como descobertas para o Security Hub, acionando o alerta necessário. As outras opções estão incorretas porque: Criar uma ação personalizada no Security Hub não é a forma padrão de avaliar a conformidade de recursos; o Security Hub agrega descobertas, não as gera diretamente dessa forma. Uma política de proteção de dados do CloudWatch Logs foca na detecção de dados sensíveis dentro dos logs, não na avaliação do período de retenção do grupo de logs em si. Uma regra de automação do Security Hub serve para responder a descobertas existentes, não para criá-las a partir da avaliação de conformidade de recursos.