GlobalBank betreibt 40 AWS-Konten in AWS Organizations. Das Sicherheitsteam benötigt eine zentralisierte Durchsetzung, sodass: (1) alle Internet-zugänglichen ALBs eine Standard-AWS WAF-Web-ACL haben, (2) organisationsweite Sicherheitsgruppenregeln 0.0.0.0/0 außer auf genehmigten Ports verhindern und (3) Shield Advanced auf Internet-zugänglichen Ressourcen mit DRT-Zugriff aktiviert ist. Sie möchten eine automatische Anwendung auf neue Konten und Ressourcen. Was sollten sie implementieren?

Die korrekte Antwort ist AWS Firewall Manager mit AWS Organizations verwenden, um WAF-, Sicherheitsgruppen- und Shield Advanced-Richtlinien zu erstellen, die automatisch auf die Ziel-OUs angewendet werden. AWS Firewall Manager ist das zentrale Tool zur Verwaltung von WAF-Web-ACLs, Sicherheitsgruppen und Shield Advanced-Richtlinien über mehrere Konten hinweg in AWS Organizations. Es ermöglicht die automatische Anwendung und Durchsetzung dieser Richtlinien auf neue und bestehende Ressourcen, was den Anforderungen des Sicherheitsteams entspricht. Die anderen Optionen sind unzureichend: Service Control Policies (SCPs) sind Berechtigungs-Guards, die Aktionen auf Kontoebene einschränken, aber keine detaillierte Durchsetzung von WAF-Konfigurationen oder Sicherheitsgruppenregeln auf Ressourcenebene bieten. AWS Config Conformance Packs erkennen nur Nicht-Konformität und senden Benachrichtigungen, erzwingen aber keine automatische Korrektur oder Anwendung von Richtlinien. Amazon Inspector konzentriert sich auf die Erkennung von Schwachstellen und Fehlkonfigurationen, nicht auf die zentrale Durchsetzung von WAF-, Sicherheitsgruppen- oder Shield Advanced-Richtlinien.