Das Unternehmen erzwingt eine Regel, dass keine Sicherheitsgruppe SSH von 0.0.0.0/0 zulassen sollte. Ein SysOps-Administrator muss eine Lösung implementieren, die das Betriebsteam benachrichtigt, wenn eine Sicherheitsgruppe gegen diese Regel verstößt, und die die fehlerhafte Regel automatisch beheben muss. Welches Design erfüllt beide Anforderungen?

Die Aktivierung der AWS Config Managed Rule restricted-ssh ist die effizienteste Lösung, da sie speziell für die Erkennung von Sicherheitsgruppen konzipiert ist, die SSH von 0.0.0.0/0 zulassen. Die Integration einer automatischen Behebung mit dem Systems Manager Automation Runbook AWS-DisablePublicAccessForSecurityGroup behebt die fehlerhafte Regel automatisch. Eine EventBridge-Regel, die auf Nicht-Konformitätsereignisse von AWS Config reagiert, kann das SysOps-Team zuverlässig benachrichtigen. Die anderen Optionen sind weniger optimal: Eine Lambda-Funktion, die bei jeder Sicherheitsgruppenänderung aufgerufen wird, ist ineffizient und erfordert mehr benutzerdefinierten Code zur Validierung und Behebung. CloudTrail-Metrikfilter und CloudWatch-Alarme können zwar Änderungen erkennen, erfordern aber ebenfalls eine benutzerdefinierte Lambda-Funktion zur Behebung, die komplexer ist als die Nutzung von AWS Config und Systems Manager. Das Hinzufügen einer Systems Manager Automation-Aktion zu einem CloudWatch-Alarm ist zwar eine Behebungsoption, aber die Erkennung über AWS Config ist präziser und verwalteter für Compliance-Zwecke als ein generischer CloudTrail-Metrikfilter.