Ein Sicherheitsingenieur muss E-Mail-Benachrichtigungen erhalten, wenn Amazon GuardDuty, AWS Identity and Access Management (IAM) Access Analyzer oder Amazon Macie einen Fund mit hoher Schwere generieren. Das Unternehmen nutzt AWS Control Tower für die Governance und hat AWS Security Hub mit allen Service-Integrationen aktiviert. Welche Lösung bietet die erforderlichen Warnungen mit dem geringsten Betriebsaufwand?

Die korrekte Option nutzt AWS Security Hub als zentralen Aggregator für Sicherheitserkenntnisse von GuardDuty, IAM Access Analyzer und Macie. Da Security Hub bereits aktiviert ist und alle Service-Integrationen nutzt, kann eine einzige EventBridge-Regel alle hochgradigen Funde von diesen Diensten über Security Hub abfangen. EventBridge leitet diese dann an ein SNS-Thema weiter, das E-Mail-Benachrichtigungen versendet. Dies ist der Ansatz mit dem geringsten Betriebsaufwand, da keine separaten Funktionen für jeden Dienst oder eine EC2-Instanz verwaltet werden müssen. Die Option mit separaten Lambda-Funktionen für jeden Dienst ist aufwendiger, da mehrere Funktionen und deren Zeitpläne verwaltet werden müssen. Die Option mit AWS Control Tower ist falsch, da Control Tower für die Governance zuständig ist und nicht direkt Sicherheitsfunde von GuardDuty, IAM Access Analyzer oder Macie generiert oder aggregiert. Die Option mit einer EC2-Anwendung ist der wartungsintensivste Ansatz, da eine Serverinstanz, Patches und die Anwendungslogik verwaltet werden müssen.