Ein Unternehmen muss Amazon CloudWatch Logs-Daten 90 Tage lang aufbewahren und eine Benachrichtigung in AWS Security Hub erhalten, wenn die Aufbewahrungsrichtlinie einer Protokollgruppe nicht konform ist. Welche Lösung bietet die erforderlichen Benachrichtigungen?

Die korrekte Lösung ist die Verwendung der verwalteten AWS Config-Regel, die die Aufbewahrungsfristen von Protokollgruppen bewertet, und die Sicherstellung der Integration von AWS Config in Security Hub. AWS Config bietet verwaltete Regeln, die automatisch die Konformität von AWS-Ressourcen, einschließlich CloudWatch Logs-Protokollgruppen, mit vordefinierten Richtlinien überprüfen können. Die Regel cloudwatch-log-group-retention-period-check ist speziell für diesen Zweck konzipiert. Wenn diese Regel eine Nichtkonformität feststellt (z. B. eine Protokollgruppe, die nicht die erforderliche Aufbewahrungsdauer von 90 Tagen hat), sendet AWS Config die Ergebnisse an AWS Security Hub, sofern die Integration aktiviert ist. Security Hub fasst diese Ergebnisse dann als Findings zusammen und kann Benachrichtigungen auslösen. Eine benutzerdefinierte Aktion in Security Hub ist nicht für die Bewertung der Aufbewahrungsfristen zuständig, sondern für die Reaktion auf Findings. Eine CloudWatch Logs-Datenschutzrichtlinie ist für den Schutz sensibler Daten in Protokollen gedacht, nicht für die Überprüfung der Aufbewahrungsdauer. Eine Security Hub-Automatisierungsregel reagiert auf Findings, bewertet aber nicht selbst die Konformität von Ressourcen.