Un arquitecto de soluciones debe implementar un control de cumplimiento automatizado que prohíba las reglas de grupos de seguridad que permitan SSH desde 0.0.0.0/0. La empresa debe ser notificada cuando se incumpla la política y necesita una solución lo antes posible con la menor sobrecarga operativa. ¿Qué debe hacer el arquitecto de soluciones?

La opción correcta es habilitar la regla administrada restricted-ssh de AWS Config y generar una notificación de Amazon SNS. AWS Config es un servicio de cumplimiento que monitorea continuamente los recursos de AWS y sus configuraciones. La regla restricted-ssh está diseñada específicamente para identificar grupos de seguridad que permiten el acceso SSH desde 0.0.0.0/0, lo que aborda directamente el requisito. Al integrarlo con Amazon SNS, se garantiza una notificación rápida y automatizada con la menor sobrecarga operativa, ya que es una solución preconstruida y gestionada por AWS. Escribir un script de AWS Lambda es posible, pero introduce mayor sobrecarga operativa al requerir desarrollo, mantenimiento y gestión del código. Crear un rol de IAM para notificar cuando se asume no prohíbe la creación de reglas no conformes ni notifica sobre ellas. Configurar una SCP es una buena práctica para prevenir, pero no detecta configuraciones existentes ni notifica sobre incumplimientos de reglas específicas de grupos de seguridad, y la notificación en un sistema de tickets no es tan inmediata como SNS.