Una organización tiene 10 cuentas de AWS en AWS Organizations. Cada cuenta ejecuta AWS Config y pertenece a la OU de Prod o a la OU de NonProd. Cada cuenta tiene una regla de EventBridge que notifica a un tema de SNS cuando se crea una regla de entrada de grupo de seguridad de EC2 con origen 0.0.0.0/0; el equipo de seguridad se suscribe al tema de SNS. Para todas las cuentas de la OU de NonProd, el equipo de seguridad debe eliminar la capacidad de crear reglas de entrada de grupo de seguridad que permitan 0.0.0.0/0. ¿Qué enfoque logra esto con la MENOR sobrecarga operativa?

La creación de una Service Control Policy (SCP) que deniegue explícitamente ec2:AuthorizeSecurityGroupIngress cuando aws:SourceIp sea 0.0.0.0/0 es la solución con menor sobrecarga operativa. Las SCPs se aplican a nivel de OU, lo que significa que una única política puede afectar a todas las cuentas dentro de la OU de NonProd, centralizando la gestión de permisos y evitando la configuración individual en cada cuenta. Esto previene proactivamente la creación de reglas de seguridad inseguras. La opción de modificar la regla de EventBridge con una función Lambda es reactiva y añade sobrecarga operativa al requerir el desarrollo y mantenimiento de código Lambda, además de que la regla de seguridad insegura se crearía antes de ser eliminada. La regla administrada de AWS Config vpc-sg-open-only-to-authorized-ports es para puertos específicos, no para el origen 0.0.0.0/0 en general, y es una medida de auditoría, no de prevención. Una SCP que permita solo cuando aws:SourceIp no es 0.0.0.0/0 es más compleja de implementar y mantener que una denegación explícita.