L'azienda applica una regola secondo cui nessun gruppo di sicurezza dovrebbe consentire SSH da 0.0.0.0/0. Un amministratore SysOps deve implementare una soluzione che avvisi il team operativo quando un gruppo di sicurezza viola questa regola e deve correggere automaticamente la regola incriminata. Quale design soddisfa entrambi i requisiti?

La risposta corretta è la terza opzione perché AWS Config con la regola gestita restricted-ssh è progettato specificamente per rilevare e segnalare gruppi di sicurezza che consentono l'accesso SSH pubblico (0.0.0.0/0). L'allegato runbook di Systems Manager Automation AWS-DisablePublicAccessForSecurityGroup fornisce una correzione automatica efficace per rimuovere tali regole non conformi. L'integrazione con EventBridge per notificare il team SysOps al cambiamento di stato della regola Config garantisce il requisito di notifica. Le altre opzioni sono meno efficienti o incomplete: La prima opzione richiede la creazione di una Lambda complessa per la validazione e la rimozione di tutte le regole in entrata, che potrebbe essere troppo aggressiva e non specifica per SSH. La seconda e la quarta opzione si basano su CloudTrail e CloudWatch, che possono rilevare le modifiche, ma la correzione automatica tramite Lambda o Systems Manager Automation non è altrettanto integrata e specifica per la conformità come AWS Config. Inoltre, la seconda opzione propone di eliminare l'intera regola, che potrebbe non essere l'azione desiderata.