Una auditoría de seguridad encontró grupos de seguridad que permitían SSH desde 0.0.0.0/0. El equipo de seguridad debe detectar y remediar esto lo antes posible en todas las cuentas de una única organización de AWS Organizations. ¿Qué enfoque logra la detección y la remediación automatizada?

La opción correcta es habilitar AWS Config en cada cuenta, crear una regla personalizada de AWS Config con un disparador de cambio de configuración (como restricted-ssh) y hacer que la regla invoque una función Lambda para remediar los recursos no conformes. AWS Config es ideal para la detección continua de la conformidad de los recursos. Una regla personalizada permite definir la lógica específica para identificar grupos de seguridad con SSH abierto a 0.0.0.0/0. El disparador de cambio de configuración asegura que la regla se evalúe cada vez que un grupo de seguridad se crea o modifica. La función Lambda asociada puede automatizar la remediación, como modificar o eliminar la regla de entrada ofensiva. Las otras opciones son menos efectivas o apropiadas: La regla administrada vpe-sg-port-restriction-check no es la más adecuada para esta auditoría específica, ya que está más orientada a VPC Endpoints. Crear una Lambda que elimine cualquier regla de grupo de seguridad es demasiado agresivo y podría causar interrupciones. Un documento de automatización de Systems Manager programado cada hora podría tener un retraso en la detección y remediación, lo que no cumple con la necesidad de "lo antes posible".