Fabrikam Health utilizza già la regola gestita di AWS Config restricted-ssh per rilevare i gruppi di sicurezza che consentono 0.0.0.0/0 su TCP/22. Desiderano una correzione automatica entro un minuto che rimuova l'ingresso offensivo non appena la regola segnala NON_COMPLIANT. Qual è l'approccio più adatto?

L'opzione corretta utilizza EventBridge per reagire in tempo reale alle modifiche di conformità di AWS Config. Quando la regola restricted-ssh rileva una risorsa NONCOMPLIANT, EventBridge attiva una funzione Lambda. Questa Lambda esegue RevokeSecurityGroupIngress per rimuovere l'ingresso non conforme, garantendo una correzione automatica entro un minuto come richiesto. Le altre opzioni sono meno adatte: Creare una regola AWS Config personalizzata che invoca una Lambda solo quando il risultato è COMPLIANT non correggerebbe le risorse NONCOMPLIANT. Una regola EventBridge pianificata ogni ora non soddisfa il requisito di correzione entro un minuto. AWS Firewall Manager è ottimo per la gestione centralizzata, ma non garantisce una correzione immediata e automatica per le violazioni esistenti in questo specifico scenario senza configurazioni aggiuntive per la remediation.