Entwickler verwenden Linux EC2-Instances als Bastion-Hosts mit SSH-Zugriff, der durch Sicherheitsgruppenregeln auf bestimmte IP-Adressen beschränkt ist. Das Sicherheitsteam muss benachrichtigt werden, wenn diese Sicherheitsgruppenregeln geändert werden, um SSH von jeder IP-Adresse (0.0.0.0/0) zuzulassen. Was sollte der DevOps-Ingenieur implementieren, um diese Anforderung zu erfüllen?

Die Erstellung einer AWS Config-Regel mit der verwalteten Regel restricted-ssh ist die effektivste Lösung. Diese Regel wurde speziell entwickelt, um Sicherheitsgruppen zu identifizieren, die SSH-Zugriff (Port 22) von jeder IP-Adresse (0.0.0.0/0) zulassen. Wenn eine solche Änderung erkannt wird, kann AWS Config eine Benachrichtigung über ein Amazon SNS-Thema senden, um das Sicherheitsteam zu informieren. Die Option mit EventBridge und AuthorizeSecurityGroupIngress würde zwar Änderungen an Sicherheitsgruppen erkennen, müsste aber eine komplexe Filterlogik implementieren, um speziell nach 0.0.0.0/0 für Port 22 zu suchen, was fehleranfälliger ist als die verwaltete Config-Regel. GuardDuty und Inspector sind für die Erkennung von Bedrohungen und Schwachstellen konzipiert, nicht für die Überwachung von Konfigurationsänderungen an Sicherheitsgruppenregeln in Echtzeit auf diese spezifische Weise.