La empresa aplica una regla que establece que ningún grupo de seguridad debe permitir SSH desde 0.0.0.0/0. Un administrador de SysOps debe implementar una solución que alerte al equipo de operaciones cuando un grupo de seguridad infrinja esta regla y debe corregir automáticamente la regla infractora. ¿Qué diseño satisface ambos requisitos?

La opción correcta utiliza AWS Config para detectar el incumplimiento y Systems Manager para la corrección automática, que son las herramientas diseñadas para estos propósitos. La regla gestionada restricted-ssh de AWS Config está específicamente diseñada para identificar grupos de seguridad que permiten SSH desde 0.0.0.0/0. Al adjuntar el runbook de automatización AWS-DisablePublicAccessForSecurityGroup a esta regla de Config, se automatiza la corrección. Finalmente, una regla de EventBridge puede monitorear el estado de cumplimiento de AWS Config y notificar al equipo de SysOps cuando se detecta un incumplimiento. Las opciones incorrectas son menos eficientes o no cumplen completamente los requisitos: La opción de EventBridge y Lambda es una solución personalizada que requeriría más desarrollo y mantenimiento que una regla gestionada de AWS Config. Las opciones que usan filtros de métricas de CloudTrail y alarmas de CloudWatch pueden detectar los cambios, pero la corrección automática y la notificación no son tan directas o específicas como con AWS Config y Systems Manager. Además, CloudTrail registra eventos, no evalúa el cumplimiento continuo de los recursos.