開発者は、セキュリティグループルールによって特定のIPアドレスにSSHアクセスが制限されたLinux EC2インスタンスを踏み台ホストとして使用しています。セキュリティチームは、これらのセキュリティグループルールが変更され、任意のIPアドレス (0.0.0.0/0) からのSSHが許可された場合に通知を受ける必要があります。この要件を満たすために、DevOpsエンジニアは何を実装すべきですか？

正解は、AWS Configルールを使用することです。restricted-ssh マネージドルールは、セキュリティグループが0.0.0.0/0からのSSHアクセスを許可しているかどうかを具体的にチェックします。このルールが非準拠を検出した場合、Amazon SNSトピックに通知を送信するように設定できます。これにより、セキュリティチームは即座にアラートを受け取ることができます。 他の選択肢は適切ではありません。Amazon EventBridgeとCloudTrailの組み合わせは、セキュリティグループルールの変更自体を検出しますが、変更が「制限なしのSSH」であるかどうかを直接評価するわけではありません。GuardDutyはセキュリティの脅威を検出しますが、セキュリティグループの構成変更の監視には特化していません。Amazon InspectorはEC2インスタンスの脆弱性をスキャンしますが、セキュリティグループのインバウンドルールを監視する目的には合致しません。