Una empresa regulada exige que los ingenieros de DevOps no inicien sesión en las instancias EC2, excepto en caso de emergencia. Si se produce un inicio de sesión, el equipo de seguridad debe ser alertado en un plazo de 15 minutos. ¿Qué solución cumple este requisito de forma fiable?

La opción correcta es instalar el agente de CloudWatch en cada instancia EC2 para recopilar registros de eventos de inicio de sesión. Luego, se puede configurar un filtro de métricas en CloudWatch Logs para detectar patrones específicos que indiquen un inicio de sesión de usuario. Cuando este filtro detecta un evento, activa una alarma de CloudWatch que, a su vez, envía una notificación a través de SNS al equipo de seguridad, cumpliendo con el requisito de alerta en 15 minutos. Las otras opciones son menos eficientes o no cumplen completamente el requisito: Amazon Inspector se enfoca en la evaluación de vulnerabilidades y no en la monitorización de inicios de sesión en tiempo real. CloudTrail registra la actividad de la API de AWS, no los inicios de sesión directos en las instancias EC2, y la cadena de Kinesis/Lambda/Athena es más compleja y puede introducir latencia. Enviar registros a S3 y usar Athena es una solución para análisis posterior, no para alertas en tiempo real con un límite de 15 minutos.