セキュリティ監査により、0.0.0.0/0 からの SSH を許可するセキュリティグループが発見されました。セキュリティチームは、単一の AWS Organizations 組織内のすべてのアカウントで、これをできるだけ早く検出し、修正する必要があります。検出と自動修正を実現するアプローチはどれですか？

正解は、AWS Organizations内のすべてのアカウントでAWS Configを有効にし、カスタムAWS Configルールを作成し、そのルールでLambdaを呼び出して非準拠のリソースを修正する方法です。このアプローチは、組織全体での検出と自動修正を効率的に実現します。カスタムAWS Configルールは、セキュリティグループの変更イベントをトリガーとして、0.0.0.0/0からのSSHアクセスを検出します。非準拠が検出された場合、関連付けられたLambda関数が自動的にそのルールを修正（削除）します。 他の選択肢は、組織全体でのスケーラビリティや即時性に欠ける可能性があります。マネージドAWS Configルールは特定の要件に合致しない場合があり、EventBridgeとLambdaの直接的な組み合わせは、組織全体でのデプロイと管理が複雑になる可能性があります。また、Systems Manager Automationドキュメントを定期的に実行する方法は、リアルタイムの検出と修正には適していません。