Una organización desea un método centralizado y automatizado en todas las cuentas de AWS Organizations para detectar grupos de seguridad que permiten el tráfico entrante desde 0.0.0.0/0 y remediar automáticamente las violaciones reemplazando esa fuente abierta con el CIDR de la intranet aprobado por la compañía. ¿Qué acciones debe implementar un administrador de SysOps para lograr esto?

La opción correcta es implementar una regla de AWS Config porque permite la detección centralizada y la remediación automática en todas las cuentas de AWS Organizations. AWS Config puede identificar grupos de seguridad que permiten tráfico desde 0.0.0.0/0 y, mediante la remediación automática, puede invocar una acción (como una función de Lambda o un documento de Systems Manager Automation) para modificar la regla infractora y reemplazar 0.0.0.0/0 con el CIDR de la intranet aprobado. Las otras opciones son menos adecuadas: Una política de IAM solo deniega la creación, no remedia los grupos de seguridad existentes y requeriría adjuntarse a cada usuario, lo cual no es escalable. Una función de AWS Lambda personalizada podría escanear y remediar, pero AWS Config ofrece una solución más integrada y gestionada para el cumplimiento y la remediación en toda la organización. Una SCP puede bloquear la creación, pero no puede realizar una remediación automática para modificar una regla de grupo de seguridad existente. Las SCPs son políticas de control a nivel de organización, no herramientas de remediación activa.