Eine Organisation hat 10 AWS-Konten in AWS Organizations. Jedes Konto führt AWS Config aus und gehört entweder zur Prod OU oder zur NonProd OU. Jedes Konto hat eine EventBridge-Regel, die ein SNS-Thema benachrichtigt, wenn eine eingehende EC2-Sicherheitsgruppenregel mit der Quelle 0.0.0.0/0 erstellt wird; das Sicherheitsteam abonniert das SNS-Thema. Für alle Konten der NonProd OU muss das Sicherheitsteam die Möglichkeit entfernen, eingehende Sicherheitsgruppenregeln zu erstellen, die 0.0.0.0/0 zulassen. Welcher Ansatz erreicht dies mit dem GERINGSTEN Betriebsaufwand?

Die Erstellung einer Service Control Policy (SCP) in AWS Organizations, die die Aktion ec2:AuthorizeSecurityGroupIngress explizit verweigert, wenn die Bedingung aws:SourceIp gleich 0.0.0.0/0 ist, ist die effektivste Methode mit dem geringsten Betriebsaufwand. SCPs sind präventive Kontrollen, die auf Organisationseinheiten (OUs) angewendet werden und verhindern, dass unerwünschte Aktionen überhaupt ausgeführt werden. Dies zentralisiert die Kontrolle und eliminiert die Notwendigkeit, Konfigurationen in jedem einzelnen Konto zu verwalten. Die Änderung der EventBridge-Regel würde eine reaktive Lösung darstellen, die die Regel erst nach ihrer Erstellung entfernt, was einen höheren Betriebsaufwand und ein kurzes Zeitfenster der Exposition bedeutet. Das Hinzufügen der verwalteten AWS Config-Regel vpc-sg-open-only-to-authorized-ports ist ebenfalls reaktiv und würde nur eine Meldung erzeugen, aber die Erstellung der Regel nicht verhindern. Eine SCP, die ec2:AuthorizeSecurityGroupIngress nur zulässt, wenn aws:SourceIp nicht 0.0.0.0/0 ist, ist zwar ähnlich, aber eine explizite Verweigerung ist in diesem Fall klarer und robuster, um die spezifische Anforderung zu erfüllen.