Firma wymaga, aby żadna grupa bezpieczeństwa Amazon EC2 nie zezwalała na dostęp SSH z 0.0.0.0/0. Firma chce ciągłego monitorowania zgodności i powiadomień w czasie zbliżonym do rzeczywistego, jeśli jakakolwiek grupa bezpieczeństwa stanie się niezgodna. Inżynier bezpieczeństwa włączył AWS Config z zarządzaną regułą restricted-ssh. Co inżynier powinien zrobić dalej, aby spełnić te wymagania?

Poprawna odpowiedź to: Utwórz regułę Amazon EventBridge, która jest wyzwalana przez zdarzenia zmiany zgodności AWS Config dla zarządzanej reguły restricted-ssh. Ustaw cel reguły na temat Amazon Simple Notification Service (Amazon SNS) dla powiadomień. Wyjaśnienie: Ta opcja jest najskuteczniejszym i najbardziej bezpośrednim sposobem na spełnienie wymagań. AWS Config generuje zdarzenia zmiany zgodności, które mogą być bezpośrednio przechwycone przez Amazon EventBridge. EventBridge może następnie wysłać powiadomienie do tematu Amazon SNS, zapewniając powiadomienia w czasie zbliżonym do rzeczywistego, zgodnie z wymaganiami. Pozostałe opcje są mniej efektywne: Konfiguracja funkcji Lambda wyzwalanej przez zdarzenia S3 Put wymagałaby dodatkowej logiki do analizy migawek i jest bardziej złożona niż bezpośrednie użycie EventBridge. Przesyłanie powiadomień do CloudWatch Logs i tworzenie filtru metryk jest możliwe, ale mniej bezpośrednie i może wprowadzać większe opóźnienia niż EventBridge. Tworzenie alarmu CloudWatch na metryce dla reguły restricted-ssh nie jest możliwe, ponieważ AWS Config nie publikuje dedykowanych metryk zgodności w CloudWatch, które można by bezpośrednio monitorować w ten sposób.