Firma korzysta z AWS Organizations i zaczęła używać AWS Identity and Access Management (IAM) Access Analyzer do doprecyzowania zbyt szerokiego dostępu. Firma musi automatycznie naprawiać wszelkie nowo utworzone polityki IAM, które zezwalają na dostęp publiczny lub międzykontowy, usuwać dostęp zewnętrzny i powiadamiać zespół bezpieczeństwa. Jaką kombinację kroków powinien podjąć inżynier bezpieczeństwa, aby spełnić te wymagania? (Wybierz trzy.)

Prawidłowe odpowiedzi tworzą kompleksowe, zautomatyzowane rozwiązanie. Reguła EventBridge (1) jest wyzwalana przez wyniki IAM Access Analyzer, które wskazują na publiczny lub międzykontowy dostęp. Następnie wywołuje maszynę stanów Step Functions (2), która jest odpowiedzialna za logikę naprawczą. Step Functions może sprawdzać typ zasobu i programowo modyfikować polityki zaufania ról IAM, dodając jawne oświadczenie Deny, skutecznie usuwając niepożądany dostęp. Po zakończeniu naprawy, Step Functions publikuje powiadomienie do tematu SNS (3). Temat SNS, do którego subskrybowany jest zespół bezpieczeństwa, zapewnia, że zostaną oni powiadomieni o naprawie i usunięciu dostępu zewnętrznego. Nieprawidłowe opcje: AWS Batch nie jest idealnym rozwiązaniem do reagowania w czasie rzeczywistym na zdarzenia bezpieczeństwa, ponieważ jest przeznaczony do zadań wsadowych. Filtr metryk CloudWatch nie jest odpowiednim mechanizmem do wyzwalania naprawy na podstawie wyników IAM Access Analyzer; EventBridge jest do tego celu przeznaczony. Kolejka SQS może być używana do powiadomień, ale temat SNS jest bardziej odpowiedni do rozsyłania powiadomień do wielu subskrybentów (np. adresów e-mail zespołu bezpieczeństwa).