Das SecOps-Team muss eine SNS-E-Mail-Benachrichtigung erhalten, wenn ein Mitgliedskonto in der Organisation den S3 Block Public Access auf Bucket-Ebene deaktiviert. Die Lösung darf nicht auf Änderungen in Mitgliedskonten angewiesen sein und muss verhindern, dass Mitgliedskonten die Benachrichtigung deaktivieren. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung verwendet AWS Config, um die Compliance organisationsweit zu überwachen. Durch die Aktivierung von AWS Config organisationsweit und die Bereitstellung eines Conformance Packs mit der verwalteten Regel s3-bucket-level-public-access-prohibited wird sichergestellt, dass Änderungen am S3 Block Public Access in allen Mitgliedskonten erkannt werden. Das delegierte Administratorkonto kann das SNS-Topic hosten und die SecOps-E-Mail abonnieren, um Benachrichtigungen zentral zu empfangen. Ein SSM-Dokument kann dann verwendet werden, um bei Verstößen gegen diese Regel eine Benachrichtigung an das SNS-Topic zu senden, wodurch die Anforderungen erfüllt werden, ohne dass Mitgliedskonten die Benachrichtigung deaktivieren können. Die anderen Optionen sind weniger geeignet: GuardDuty konzentriert sich auf Bedrohungserkennung, nicht auf Konfigurations-Compliance. CloudFormation StackSets erfordern Berechtigungen in den Mitgliedskonten und die Benachrichtigung könnte dort deaktiviert werden. Amazon Inspector konzentriert sich auf Schwachstellen-Management, nicht auf die Überwachung von S3 Block Public Access-Einstellungen.