Ein Sicherheitsadministrator hat AWS Security Hub für alle Konten in einer AWS Organizations-Organisation aktiviert. Das Sicherheitsteam benötigt eine nahezu Echtzeit-Reaktion und -Behebung für AWS-Ressourcen, die die Sicherheitsstandards nicht erfüllen, mit zentralisierter Audit-Protokollierung. Die Organisation hat bereits die Quoten für die Anzahl der an die OU angehängten SCPs und die SCP-Dokumentgröße erreicht und möchte SCP-Änderungen vermeiden. Die Lösung muss Skalierbarkeit und Kosteneffizienz maximieren. Welche Kombination von Maßnahmen sollte der Administrator ergreifen? (Wählen Sie drei.)

Die Erstellung einer benutzerdefinierten AWS Config-Regel erkennt Konfigurationsänderungen und ermöglicht die Behebung nicht konformer Ressourcen durch eine Lambda-Funktion im delegierten Administratorkonto. Dies bietet nahezu Echtzeit-Reaktion und zentralisierte Verwaltung. Die Erstellung einer benutzerdefinierten Security Hub-Aktion, referenziert in einer EventBridge-Regel, ermöglicht die automatisierte Reaktion auf Security Hub-Findings. Eine EventBridge-Regel, die eine Lambda-Funktion zur Korrektur aufruft, ist eine skalierbare und kosteneffiziente Methode zur automatischen Behebung von Nichtkonformitäten. AWS Systems Manager Change Manager ist für die Verfolgung von Änderungen gedacht, nicht für die automatische Behebung. Eine EventBridge-Regel, die eine Lambda-Funktion zur Bewertung von API-Anfragen aufruft, ist weniger effizient als AWS Config für die kontinuierliche Konfigurationsbewertung. Eine zeitgesteuerte Lambda-Funktion zur Bewertung von Config-Regeln bietet keine nahezu Echtzeit-Reaktion.