개발자는 보안 그룹 규칙에 의해 특정 IP 주소로 SSH 액세스가 제한된 Linux EC2 인스턴스를 배스천 호스트로 사용합니다. 보안 팀은 SSH를 모든 IP 주소(0.0.0.0/0)에서 허용하도록 보안 그룹 규칙이 변경되면 통보받아야 합니다. DevOps 엔지니어는 이 요구 사항을 충족하기 위해 무엇을 구현해야 합니까?

정답은 AWS Config 규칙을 생성하는 것입니다. restricted-ssh 관리형 규칙은 보안 그룹이 무제한 인바운드 SSH 트래픽(0.0.0.0/0)을 허용하는지 지속적으로 모니터링합니다. 이 규칙이 비준수 상태를 감지하면 Amazon SNS 주제에 알림을 게시하도록 자동 수정 기능을 구성하여 보안 팀에 즉시 통보할 수 있습니다. 오답인 EventBridge 규칙은 AuthorizeSecurityGroupIngress 이벤트만 감지할 뿐, 변경된 규칙이 0.0.0.0/0을 포함하는지 여부를 직접 확인하지 못합니다. GuardDuty는 위협 탐지 서비스이며 보안 그룹 구성 변경 모니터링에는 적합하지 않습니다. Amazon Inspector는 취약성 평가 도구이며 보안 그룹 규칙 변경 모니터링에는 사용되지 않습니다.