Ein Unternehmen nutzt AWS Organizations und hat begonnen, AWS Identity and Access Management (IAM) Access Analyzer zu verwenden, um zu weit gefasste Zugriffsrechte zu verfeinern. Das Unternehmen muss alle neu erstellten IAM-Richtlinien, die öffentlichen oder kontoübergreifenden Zugriff erlauben, automatisch beheben, externen Zugriff entfernen und das Sicherheitsteam benachrichtigen. Welche Kombination von Schritten sollte ein Sicherheitsingenieur unternehmen, um diese Anforderungen zu erfüllen? (Wählen Sie drei.)

Die korrekte Lösung umfasst eine EventBridge-Regel, die auf IAM Access Analyzer-Findings reagiert und eine Step Functions State Machine auslöst. Diese State Machine fügt eine explizite Deny-Anweisung zur Vertrauensrichtlinie der betroffenen IAM-Rolle hinzu, um externen Zugriff zu entfernen. Gleichzeitig sendet die State Machine eine Benachrichtigung an ein SNS-Thema, das an das Sicherheitsteam gesendet wird. Ein separates SNS-Thema für externe Zugriffsalarme, bei dem die E-Mail-Adressen des Sicherheitsteams abonniert sind, gewährleistet die Benachrichtigung. AWS Batch und CloudWatch Metrikfilter sind für diese Art der automatisierten Behebung und Benachrichtigung weniger geeignet als EventBridge und Step Functions. Eine SQS-Warteschlange allein würde keine aktive Behebung durchführen.