Una empresa requiere que ningún grupo de seguridad de Amazon EC2 permita el acceso SSH desde 0.0.0.0/0. La empresa desea una monitorización continua del cumplimiento y notificaciones casi en tiempo real si algún grupo de seguridad deja de cumplir las normas. Un ingeniero de seguridad ha habilitado AWS Config con la regla gestionada restricted-ssh. ¿Qué debe hacer el ingeniero a continuación para cumplir estos requisitos?

La opción correcta utiliza Amazon EventBridge para reaccionar a los cambios de cumplimiento de AWS Config en tiempo casi real. AWS Config genera eventos cuando el estado de cumplimiento de una regla cambia, y EventBridge puede capturar estos eventos y enviarlos directamente a un tema de Amazon SNS para notificaciones inmediatas. Las opciones incorrectas son menos eficientes o no cumplen con el requisito de "casi en tiempo real": La entrega de instantáneas de configuración a S3 y el uso de una función Lambda para analizarlas introduciría latencia, ya que las instantáneas no se generan continuamente para cada cambio. Configurar CloudWatch Logs y filtros de métricas para notificaciones es posible, pero EventBridge es una solución más directa y diseñada para reaccionar a eventos de servicios de AWS como AWS Config. Crear una alarma de CloudWatch directamente sobre una métrica de la regla de AWS Config no es el método principal para recibir notificaciones de cambios de cumplimiento en tiempo real; EventBridge está diseñado para este propósito.