Uma empresa gerencia certificados públicos no AWS Certificate Manager (ACM), incluindo certificados importados e emitidos pelo ACM com métodos de validação mistos. Um engenheiro de segurança deve projetar uma solução de monitoramento que envie alertas por e-mail quando um certificado estiver próximo da expiração. Qual é a abordagem mais eficiente operacionalmente?

A abordagem mais eficiente operacionalmente é usar uma regra do Amazon EventBridge com o padrão de evento predefinido Certificate Approaching Expiration. O ACM publica automaticamente eventos no EventBridge quando os certificados estão próximos da expiração, eliminando a necessidade de sondagem manual ou lógica personalizada. Definir um tópico do Amazon SNS como destino garante que as notificações por e-mail sejam enviadas automaticamente. A criação de uma função Lambda para listar certificados e filtrar por NotAfter é uma solução viável, mas requer mais esforço de desenvolvimento e manutenção. A criação de um alarme do CloudWatch na métrica DaysToExpiry no namespace AWS/CertificateManager não é aplicável, pois o ACM não expõe métricas de expiração de certificado diretamente no CloudWatch para uso com alarmes. Habilitar o AWS Security Hub e o padrão AWS Foundational Security Best Practices não é a maneira mais direta de monitorar a expiração de certificados. Embora o Security Hub possa fornecer insights de segurança, ele não foi projetado especificamente para alertas de expiração de certificados em tempo real de forma tão eficiente quanto o EventBridge.