Firma musi przechowywać dane Amazon CloudWatch Logs przez 90 dni i otrzymywać alert w AWS Security Hub, gdy jakakolwiek polityka retencji grupy logów jest niezgodna. Które rozwiązanie zapewnia wymagane powiadomienia?

Prawidłowa odpowiedź to użycie zarządzanej reguły AWS Config, która ocenia okresy retencji grupy logów, i upewnienie się, że AWS Config jest zintegrowany z Security Hub. AWS Config jest usługą do oceny, audytu i ewaluacji konfiguracji zasobów AWS. Posiada zarządzane reguły, takie jak cloudwatch-log-group-retention-period-check, które mogą sprawdzać zgodność okresów retencji grup logów CloudWatch. Po wykryciu niezgodności, AWS Config generuje wynik zgodności, który może być automatycznie przekazany do AWS Security Hub, jeśli integracja jest włączona. Security Hub następnie wyświetli alert, spełniając wymagania firmy. Tworzenie niestandardowej akcji w Security Hub nie jest mechanizmem do oceny konfiguracji zasobów. Polityki ochrony danych CloudWatch Logs służą do maskowania wrażliwych danych, a nie do oceny okresów retencji. Reguły automatyzacji Security Hub służą do automatyzacji reakcji na istniejące wyniki, a nie do ich generowania z oceny konfiguracji.