회사는 어떤 보안 그룹도 0.0.0.0/0에서 SSH를 허용해서는 안 된다는 규칙을 시행합니다. SysOps 관리자는 보안 그룹이 이 규칙을 위반할 때 운영팀에 알리고 위반 규칙을 자동으로 수정하는 솔루션을 구현해야 합니다. 두 가지 요구 사항을 모두 충족하는 설계는 무엇입요?

정답은 AWS Config, Systems Manager Automation, EventBridge를 조합하여 사용합니다. AWS Config의 restricted-ssh 관리형 규칙은 0.0.0.0/0에서 SSH를 허용하는 보안 그룹을 자동으로 탐지합니다. 이 규칙에 Systems Manager Automation 런북 AWS-DisablePublicAccessForSecurityGroup을 연결하면 비준수 보안 그룹을 자동으로 수정하여 SSH 규칙을 제거할 수 있습니다. 마지막으로, EventBridge 규칙을 추가하여 Config 규칙이 비준수 상태가 될 때 SysOps 팀에 알림을 보낼 수 있습니다. 오답 1은 Lambda가 모든 인바운드 규칙을 제거하도록 하는 것은 너무 광범위하여 의도치 않은 서비스 중단을 초래할 수 있습니다. 오답 2와 4는 CloudTrail 지표 필터와 CloudWatch 경보를 사용하지만, AWS Config 관리형 규칙은 SSH 제한과 같은 특정 보안 정책 준수 여부를 평가하고 자동 수정하는 데 더 적합한 전용 솔루션입니다. 또한, 오답 4는 Systems Manager Automation 작업을 경보에 직접 연결하지만, Config와 Automation의 통합은 비준수 상태를 감지하고 수정하는 데 더 체계적인 접근 방식을 제공합니다.