Ontwikkelaars mogen geen VPC-netwerkinfrastructuur lanceren. Telkens wanneer een NAT gateway wordt aangemaakt, moet het netwerkbeveiligingsteam onmiddellijk worden gewaarschuwd om deze te beëindigen. De oplossing moet eenvoudig te implementeren zijn in meerdere AWS-accounts, minimale administratieve overhead hebben en een toegankelijke compliancegeschiedenis bieden. Welke oplossing voldoet aan deze vereisten?

De correcte optie maakt gebruik van AWS Config-regels om te controleren op NAT-gateways en AWS Systems Manager Automation voor herstelacties, inclusief waarschuwingen en beëindiging. Dit biedt een geautomatiseerde, compliance-vriendelijke oplossing. AWS CloudFormation StackSets maakt eenvoudige implementatie in meerdere accounts mogelijk, wat de administratieve overhead minimaliseert. De andere opties zijn minder geschikt: Een EC2-script met cronjobs is complexer te beheren en te schalen over meerdere accounts, en de logging naar RDS is minder geautomatiseerd voor compliance. Een Lambda-functie met AWS SAM is een goede serverloze aanpak, maar mist de ingebouwde compliance- en auditmogelijkheden van AWS Config. OpenSearch voor logging voegt ook complexiteit toe. GuardDuty is primair voor beveiligingsmonitoring en detecteert geen standaard NAT Gateway-creaties als een bedreiging, tenzij er verdacht gedrag is. Het is niet ontworpen voor proactieve configuratiehandhaving.