Ein Sicherheitsteam muss Ressourcenkonfigurationen aufzeichnen, Probleme erkennen und Benachrichtigungen erhalten. Das Konto betreibt eine EC2 Auto Scaling-Gruppe, die häufig skaliert. Das Team benötigt innerhalb von 2 Tagen eine Benachrichtigung, wenn eine EC2-Sicherheitsgruppe 0.0.0.0/0 auf Port 22 zulässt, sowie routinemäßige Snapshots der Ressourcenkonfiguration. Ein SNS topic existiert bereits und das Team ist abonniert. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Antwort ist, AWS Config mit der Aufzeichnung von Konfigurationsänderungen und der verwalteten Regel ssh-restricted zu verwenden, um die Anforderungen zu erfüllen. AWS Config zeichnet Konfigurationsänderungen auf und kann bei Regelverletzungen Benachrichtigungen an ein SNS-Topic senden. Die Regel ssh-restricted ist speziell dafür konzipiert, offene SSH-Ports (22) für 0.0.0.0/0 zu erkennen. Die Option, periodische Aufzeichnung zu verwenden, ist weniger effizient als die Aufzeichnung von Konfigurationsänderungen, da letztere sofort auf Änderungen reagiert. Die Regel vpc-sg-port-restriction-check ist allgemeiner und nicht spezifisch für Port 22. Eine Lambda-Funktion wäre eine mögliche Lösung, aber AWS Config bietet eine einfachere, verwaltete Lösung für diesen Anwendungsfall, insbesondere da eine verwaltete Regel existiert, die genau diese Bedingung prüft.