Een bedrijf moet Amazon CloudWatch Logs-gegevens 90 dagen bewaren en een waarschuwing ontvangen in AWS Security Hub wanneer het retentiebeleid van een loggroep niet-compliant is. Welke oplossing biedt de vereiste meldingen?

De juiste oplossing is het gebruik van een AWS Config managed rule die de retentieperioden van loggroepen evalueert, en ervoor te zorgen dat AWS Config is geïntegreerd met Security Hub. AWS Config kan continu de configuratie van AWS-resources monitoren en evalueren op compliance. Er is een specifieke managed rule, cloudwatch-log-group-retention-period-check, die controleert of CloudWatch Logs-loggroepen voldoen aan de gespecificeerde retentieperiode. Wanneer deze regel een non-compliant resource detecteert, stuurt AWS Config de bevindingen naar AWS Security Hub, dat vervolgens de vereiste meldingen kan genereren. De andere opties zijn onjuist: Het maken van een aangepaste actie in Security Hub is niet de primaire manier om retentieperioden te beoordelen; Security Hub is een aggregator van bevindingen, geen evaluatietool. Een CloudWatch Logs-gegevensbeschermingsbeleid is bedoeld voor het detecteren en maskeren van gevoelige gegevens binnen log-events, niet voor het beoordelen van retentieperioden van loggroepen. Een Security Hub-automatiseringsregel is bedoeld voor het automatisch reageren op bestaande bevindingen, niet voor het zelfstandig beoordelen van configuratie-compliance.