Un'azienda richiede che nessun gruppo di sicurezza Amazon EC2 consenta l'accesso SSH da 0.0.0.0/0. L'azienda desidera un monitoraggio continuo della conformità e notifiche quasi in tempo reale se un gruppo di sicurezza diventa non conforme. Un ingegnere della sicurezza ha abilitato AWS Config con la regola gestita restricted-ssh. Cosa dovrebbe fare l'ingegnere per soddisfare questi requisiti?

La risposta corretta è creare una regola Amazon EventBridge che si attiva sugli eventi di modifica della conformità di AWS Config e invia notifiche a un argomento Amazon SNS. Questo approccio fornisce un monitoraggio continuo e notifiche quasi in tempo reale, poiché EventBridge reagisce immediatamente agli eventi di modifica della conformità generati da AWS Config. Le altre opzioni sono meno efficienti o non soddisfano i requisiti. L'invio di snapshot a S3 con una funzione Lambda (opzione 1) introduce latenza e complessità non necessarie per un monitoraggio quasi in tempo reale. L'analisi dei log di CloudWatch (opzione 3) è un metodo più indiretto e può avere un ritardo maggiore rispetto a EventBridge. La creazione di un allarme CloudWatch su una metrica (opzione 4) non è applicabile direttamente al monitoraggio dello stato di conformità di una regola AWS Config in tempo reale, poiché AWS Config non espone metriche dirette per lo stato di conformità in CloudWatch Metrics in questo modo.