Orbital Commerce necesita asegurarse de que cada VPC en todas las cuentas de miembro y Regiones de su AWS Organization tenga al menos un VPC Flow Log habilitado, y quieren que las VPC no conformes se autocorrijan. Un equipo de seguridad central también necesita una vista de cumplimiento de toda la organización. ¿Cuál es la MEJOR solución?

La solución correcta aprovecha AWS Config para la detección y remediación automática a escala de la organización. Designar una cuenta de administrador delegado de AWS Config permite la gestión centralizada de reglas y agregadores. La regla administrada vpc-flow-logs-enabled detecta la no conformidad, y la acción de remediación automática con Systems Manager Automation Runbook garantiza que los Flow Logs se habiliten automáticamente. Un agregador de organización en la cuenta delegada proporciona una vista de cumplimiento consolidada en todas las cuentas y Regiones, cumpliendo todos los requisitos. Las otras opciones son menos óptimas: Security Hub es excelente para la postura de seguridad, pero su capacidad de remediación automática para este caso específico es menos directa que AWS Config, y no ofrece la misma flexibilidad para la remediación personalizada. Los filtros de suscripción de CloudWatch Logs y Lambda son una solución personalizada que requiere más desarrollo y mantenimiento, y no ofrecen una vista de cumplimiento centralizada inherente como AWS Config. CloudFormation StackSets puede implementar Flow Logs inicialmente, pero no proporciona una detección continua de la no conformidad ni una remediación automática de la misma manera que AWS Config, ni una vista de cumplimiento centralizada para el estado de los Flow Logs.