开发人员使用 Linux EC2 实例作为堡垒主机，并通过安全组规则将 SSH 访问限制为特定 IP 地址。如果这些安全组规则被更改为允许来自任何 IP 地址 (0.0.0.0/0) 的 SSH 访问，安全团队必须收到通知。DevOps 工程师应实施什么来满足此要求？

正确答案是使用 AWS Config 规则。AWS Config 提供了托管规则 restricted-ssh，专门用于检测安全组是否允许来自 0.0.0.0/0 的不受限制的 SSH 访问。当此规则发现不合规资源时，可以配置其自动修复功能，将通知发送到 Amazon SNS 主题，从而满足安全团队的通知要求。 选项 A 不够高效，因为它依赖于 CloudTrail 事件，需要解析事件内容来判断是否允许了 0.0.0.0/0 的 SSH 访问，不如 AWS Config 托管规则直接。 选项 B 的 GuardDuty 主要用于威胁检测，而不是合规性检查，并且需要额外的配置来关联安全组规则变更。 选项 D 的 Amazon Inspector 主要用于漏洞评估，不直接监控安全组规则的合规性。