Les développeurs utilisent des instances Linux EC2 comme hôtes bastion avec un accès SSH restreint par des règles de groupe de sécurité à des adresses IP spécifiques. L'équipe de sécurité doit être avertie si ces règles de groupe de sécurité sont modifiées pour autoriser l'accès SSH depuis n'importe quelle adresse IP (0.0.0.0/0). Que doit implémenter l'ingénieur DevOps pour satisfaire cette exigence ?

La bonne réponse est de créer une règle AWS Config avec la règle gérée restricted-ssh et de configurer une notification SNS. AWS Config évalue en continu la conformité des ressources AWS. La règle restricted-ssh est spécifiquement conçue pour détecter les groupes de sécurité qui autorisent l'accès SSH (port 22) depuis n'importe quelle adresse IP (0.0.0.0/0), ce qui répond directement à l'exigence de l'équipe de sécurité. Lorsqu'une non-conformité est détectée, AWS Config peut publier un message sur une rubrique SNS, alertant ainsi l'équipe. Les autres options sont incorrectes car : Amazon EventBridge avec CloudTrail et AuthorizeSecurityGroupIngress notifierait chaque modification de règle d'entrée, pas seulement celles qui autorisent 0.0.0.0/0 pour SSH, ce qui générerait trop de bruit. Amazon GuardDuty est un service de détection des menaces qui surveille les activités malveillantes, et non un outil de conformité pour les configurations de groupe de sécurité spécifiques. Amazon Inspector est un service d'évaluation de la vulnérabilité et de la conformité des applications déployées sur des instances EC2, et non un outil pour surveiller les configurations de groupe de sécurité.