Los desarrolladores tienen prohibido lanzar infraestructura de red de VPC. Cada vez que se crea un NAT gateway, el equipo de seguridad de la red debe ser alertado inmediatamente para terminarlo. La solución debe ser fácil de implementar en múltiples cuentas de AWS, tener una sobrecarga administrativa mínima y proporcionar un historial de cumplimiento accesible. ¿Qué solución satisface estos requisitos?

La opción correcta es crear una regla personalizada de AWS Config con remediación de Systems Manager y desplegarla con CloudFormation StackSets. AWS Config monitorea continuamente los recursos, detecta la creación de NAT gateways y activa automáticamente la remediación a través de Systems Manager Automation para terminarlos y enviar alertas. CloudFormation StackSets permite una implementación consistente y a escala en múltiples cuentas, y AWS Config proporciona un historial de cumplimiento auditable. Las otras opciones son menos eficientes: Un script en EC2 con cron jobs es una solución manual, requiere gestión de instancias y carece de la integración nativa y el historial de cumplimiento de AWS Config. Una función Lambda con AWS SAM es mejor, pero aún requiere más desarrollo y gestión de estado (OpenSearch) que la solución integrada de AWS Config/Systems Manager. GuardDuty no tiene un hallazgo específico para la creación de NAT Gateway que se pueda usar para este propósito, y Step Functions añade complejidad innecesaria para esta tarea.