一家受监管的公司要求 DevOps 工程师除了紧急情况外，不得登录 EC2 实例。如果发生登录，必须在 15 分钟内通知安全团队。哪种解决方案能可靠地满足此要求？

正确答案通过在每个 EC2 实例上安装 CloudWatch 代理，将登录事件流式传输到 CloudWatch Logs。然后，CloudWatch 指标过滤器可以实时检测这些登录事件，并立即触发 SNS 通知给安全团队，确保在 15 分钟内收到警报。 其他选项的不足之处： 安装 Amazon Inspector 代理主要用于安全评估和漏洞管理，不直接用于实时检测用户登录事件。 启用带有 CloudWatch Logs 的 CloudTrail，然后转发到 Kinesis 和 Lambda 进行解析，虽然可行，但引入了不必要的复杂性和延迟，可能难以满足 15 分钟的实时性要求。 在每个 EC2 实例上部署脚本将日志推送到 S3，然后使用 S3 事件调用 Lambda 运行 Athena 查询，这种方式是批处理性质的，不具备实时性，无法满足 15 分钟的通知要求。