Architekt rozwiązań musi wdrożyć zautomatyzowaną kontrolę zgodności, która zabrania reguł grup bezpieczeństwa zezwalających na SSH z 0.0.0.0/0. Firma musi być powiadamiana o naruszeniu zasad i potrzebuje rozwiązania tak szybko, jak to możliwe, przy najmniejszym obciążeniu operacyjnym. Co powinien zrobić architekt rozwiązań?

Włączenie zarządzanej reguły AWS Config restricted-ssh jest najszybszym i najbardziej operacyjnie efektywnym rozwiązaniem. Ta reguła automatycznie wykrywa grupy bezpieczeństwa zezwalające na SSH z 0.0.0.0/0 i oznacza je jako niezgodne. AWS Config może być skonfigurowany do wysyłania powiadomień za pośrednictwem Amazon SNS, gdy wykryje niezgodność, spełniając wymagania dotyczące powiadamiania. Napisanie skryptu AWS Lambda wymagałoby większego obciążenia operacyjnego i czasu na rozwój. Tworzenie roli IAM z szerokimi uprawnieniami nie rozwiązuje problemu monitorowania zgodności, a jedynie monitoruje użycie tej roli. Konfigurowanie SCP jest dobrym rozwiązaniem prewencyjnym, ale nie monitoruje istniejących niezgodności i wymagałoby dodatkowych mechanizmów do powiadamiania o prośbach o uprawnienia administratora.