Ein Unternehmen verlangt, dass keine Amazon EC2-Sicherheitsgruppe SSH-Zugriff von 0.0.0.0/0 erlaubt. Das Unternehmen möchte eine kontinuierliche Compliance-Überwachung und Benachrichtigungen in nahezu Echtzeit, falls eine Sicherheitsgruppe nicht konform wird. Ein Sicherheitsingenieur hat AWS Config mit der verwalteten Regel „restricted-ssh“ aktiviert. Was sollte der Ingenieur als Nächstes tun, um diese Anforderungen zu erfüllen?

Die korrekte Option nutzt EventBridge, um auf AWS Config Compliance-Änderungsereignisse für die spezifische Regel "restricted-ssh" zu reagieren und Benachrichtigungen über SNS zu senden. Dies bietet eine nahezu Echtzeit-Überwachung und Benachrichtigung, da EventBridge sofort auf die von Config generierten Compliance-Änderungsereignisse reagiert. Die erste Option ist umständlich und ineffizient, da sie das Parsen von S3-Snapshots erfordert, anstatt direkt auf Ereignisse zu reagieren. Snapshots werden periodisch geliefert, nicht in Echtzeit bei jeder Statusänderung. Die dritte Option verwendet CloudWatch Logs und Metrikfilter, was zwar möglich ist, aber komplexer und potenziell langsamer sein kann als die direkte Nutzung von EventBridge für Config-Ereignisse. EventBridge ist für die Reaktion auf Ereignisse konzipiert. Die vierte Option ist unvollständig, da es keine direkte CloudWatch-Metrik für den Compliance-Status einer spezifischen AWS Config-Regel gibt, die einen Alarm auslösen könnte. CloudWatch-Alarme basieren auf Metriken, nicht direkt auf Config-Regel-Compliance-Statusänderungen.