Uma empresa exige que nenhum grupo de segurança do Amazon EC2 permita acesso SSH de 0.0.0.0/0. A empresa deseja monitoramento contínuo de conformidade e notificações quase em tempo real se algum grupo de segurança se tornar não compatível. Um engenheiro de segurança habilitou o AWS Config com a regra gerenciada restricted-ssh. O que o engenheiro deve fazer a seguir para atender a esses requisitos?

A opção correta é criar uma regra do Amazon EventBridge. O AWS Config gera eventos quando o status de conformidade de uma regra muda. O EventBridge pode ser configurado para detectar esses eventos específicos (alterações de conformidade para a regra restricted-ssh) e, em seguida, acionar um tópico do Amazon SNS para enviar notificações quase em tempo real. As outras opções são menos eficientes ou não atendem aos requisitos de "quase em tempo real": Entregar snapshots para S3 e usar Lambda é um processo mais complexo e com maior latência, não sendo ideal para notificações quase em tempo real. Enviar para CloudWatch Logs e criar filtros de métricas funcionaria, mas o EventBridge é a forma mais direta e otimizada de reagir a eventos do AWS Config. Criar um alarme do CloudWatch diretamente em uma métrica do CloudWatch para a regra restricted-ssh não é a abordagem correta, pois o AWS Config não expõe diretamente métricas de conformidade para o CloudWatch dessa forma para acionamento direto de alarmes.