Une entreprise exige qu'aucun groupe de sécurité Amazon EC2 n'autorise l'accès SSH depuis 0.0.0.0/0. L'entreprise souhaite une surveillance continue de la conformité et des notifications quasi en temps réel si un groupe de sécurité devient non conforme. Un ingénieur de sécurité a activé AWS Config avec la règle gérée restricted-ssh. Que doit faire l'ingénieur ensuite pour répondre à ces exigences ?

La bonne réponse est de créer une règle Amazon EventBridge déclenchée par les événements de changement de conformité AWS Config pour la règle restricted-ssh et de définir la cible sur une rubrique Amazon SNS. Cette approche fournit une surveillance continue et des notifications quasi en temps réel, car EventBridge peut réagir immédiatement aux changements d'état de conformité signalés par AWS Config. Les autres options sont moins efficaces ou ne répondent pas entièrement aux exigences : L'analyse des instantanés S3 avec Lambda introduit une latence et n'est pas "quasi en temps réel". L'envoi de notifications à CloudWatch Logs puis la création d'un filtre de métriques et une alarme CloudWatch est une approche plus complexe et moins directe qu'EventBridge pour les événements de conformité AWS Config. Une alarme CloudWatch sur une métrique pour la règle restricted-ssh n'est pas la méthode directe pour détecter les changements d'état de conformité d'AWS Config ; EventBridge est conçu pour cela.