Una empresa debe retener los datos de Amazon CloudWatch Logs durante 90 días y recibir una alerta en AWS Security Hub cuando la política de retención de cualquier grupo de logs no cumpla con los requisitos. ¿Qué solución proporciona las notificaciones requeridas?

La opción correcta es usar una regla administrada de AWS Config porque AWS Config puede evaluar continuamente la conformidad de los recursos de AWS con las políticas deseadas, incluyendo los períodos de retención de los grupos de logs de CloudWatch. La regla administrada cloudwatch-log-group-retention-period-check está diseñada específicamente para este propósito. Al integrar AWS Config con Security Hub, cualquier incumplimiento detectado por esta regla se enviará automáticamente a Security Hub como un hallazgo, activando las notificaciones requeridas. Las otras opciones no son viables: Security Hub no tiene acciones personalizadas ni reglas de automatización para evaluar directamente los períodos de retención de CloudWatch Logs, y las políticas de protección de datos de CloudWatch Logs se centran en el enmascaramiento de datos sensibles, no en la evaluación de la retención.