Un audit de sécurité a révélé que des groupes de sécurité autorisaient SSH depuis 0.0.0.0/0. L'équipe de sécurité doit détecter et corriger cela dès que possible sur tous les comptes d'une seule organisation AWS Organizations. Quelle approche permet la détection et la correction automatisée ?

La bonne approche consiste à activer AWS Config dans chaque compte et à créer une règle AWS Config personnalisée. Cette règle peut être configurée pour se déclencher sur les modifications de configuration des groupes de sécurité (par exemple, restricted-ssh), détectant ainsi les groupes de sécurité autorisant SSH depuis 0.0.0.0/0. Lorsque la règle détecte une non-conformité, elle peut invoquer une fonction Lambda pour corriger automatiquement le problème en modifiant ou en supprimant la règle de groupe de sécurité incriminée. Les autres options sont moins efficaces ou plus risquées : L'utilisation d'une règle AWS Config gérée (vpe-sg-port-restriction-check) ne permet pas toujours la correction automatique via Lambda pour toutes les non-conformités, et elle est spécifique aux VPC endpoints. Supprimer toutes les règles de groupe de sécurité est une action trop agressive qui pourrait interrompre des services légitimes. Un document Systems Manager Automation exécuté périodiquement n'offre pas la détection et la correction en temps réel des modifications de configuration.