Un'azienda deve conservare i dati di Amazon CloudWatch Logs per 90 giorni e ricevere un avviso in AWS Security Hub quando la policy di conservazione di qualsiasi gruppo di log non è conforme. Quale soluzione fornisce le notifiche richieste?

La soluzione corretta è utilizzare una regola gestita di AWS Config e integrarla con Security Hub. AWS Config offre regole gestite, come cloudwatch-log-group-retention-period-check, che possono valutare automaticamente la conformità dei periodi di conservazione dei gruppi di log di CloudWatch rispetto a un valore desiderato. Quando AWS Config è integrato con Security Hub, i risultati delle valutazioni non conformi vengono inviati a Security Hub come risultati di sicurezza, fornendo le notifiche richieste. Le altre opzioni non sono corrette perché: Creare un'azione personalizzata in Security Hub non è il meccanismo per valutare la conformità delle risorse AWS; Security Hub aggrega i risultati, non li genera direttamente in questo contesto. Le policy di protezione dei dati di CloudWatch Logs sono progettate per rilevare e mascherare dati sensibili all'interno dei log, non per valutare i periodi di conservazione. Le regole di automazione di Security Hub sono utilizzate per eseguire azioni automatiche sui risultati esistenti, non per generare valutazioni di conformità delle risorse.