El equipo de SecOps debe recibir una notificación por correo electrónico de SNS si alguna cuenta miembro de la organización deshabilita S3 Block Public Access a nivel de bucket. La solución no debe depender de cambios en las cuentas miembro y debe evitar que las cuentas miembro deshabiliten la notificación. ¿Qué solución cumple con estos requisitos?

La opción correcta es habilitar AWS Config en toda la organización y usar un paquete de conformidad con la regla administrada s3-bucket-level-public-access-prohibited. AWS Config, cuando se habilita a nivel de organización, permite monitorear el cumplimiento de los recursos en todas las cuentas miembro desde una cuenta centralizada, sin requerir cambios en las cuentas miembro. La regla s3-bucket-level-public-access-prohibited detecta si se deshabilita el bloqueo de acceso público de S3 a nivel de bucket. Las violaciones de esta regla pueden enviarse a un tema de SNS a través de EventBridge o un documento de SSM, notificando al equipo de SecOps. Las otras opciones son incorrectas porque: GuardDuty no monitorea la configuración de bloqueo de acceso público de S3 directamente, sino amenazas y anomalías. Un StackSet de CloudFormation requeriría permisos en las cuentas miembro para desplegar y podría ser deshabilitado por ellas. Amazon Inspector se enfoca en vulnerabilidades de software y escaneo de red, no en la configuración de bloqueo de acceso público de S3.