Fabrikam Health ya utiliza la regla gestionada de AWS Config restricted-ssh para detectar grupos de seguridad que permiten 0.0.0.0/0 en TCP/22. Quieren una remediación automática en menos de un minuto que elimine la entrada infractora tan pronto como la regla informe NON_COMPLIANT. ¿Cuál es el enfoque más adecuado?

La opción correcta utiliza EventBridge para reaccionar a los cambios de cumplimiento de AWS Config casi en tiempo real. Cuando la regla restricted-ssh informa NONCOMPLIANT, EventBridge activa una función Lambda. Esta Lambda está diseñada para llamar a la API RevokeSecurityGroupIngress, eliminando específicamente la entrada infractora (0.0.0.0/0 en TCP/22), logrando una remediación automática y rápida. La opción de la regla personalizada de AWS Config es incorrecta porque la remediación debe ocurrir cuando el recurso es NONCOMPLIANT, no COMPLIANT. La opción de EventBridge programado cada hora es incorrecta porque no cumple con el requisito de remediación en menos de un minuto. AWS Firewall Manager no es la solución más adecuada para este escenario específico de remediación automática de una regla de Config existente, ya que se centra más en la aplicación centralizada de políticas de firewall y no ofrece la granularidad de activación inmediata por un cambio de cumplimiento de Config para una remediación específica.