Organizacja chce scentralizowanej, zautomatyzowanej metody we wszystkich kontach w AWS Organizations do wykrywania grup bezpieczeństwa, które zezwalają na ruch przychodzący z 0.0.0.0/0, oraz do automatycznego naprawiania naruszeń poprzez zastąpienie tego szeroko otwartego źródła zatwierdzonym CIDR intranetu firmy. Jakie działania powinien wdrożyć administrator SysOps, aby to osiągnąć?

Prawidłowa odpowiedź to wdrożenie reguły AWS Config. AWS Config umożliwia ciągłe monitorowanie i ocenę konfiguracji zasobów AWS. Można zdefiniować regułę, która identyfikuje grupy bezpieczeństwa z regułami ruchu przychodzącego z 0.0.0.0/0. Co więcej, AWS Config obsługuje automatyczne naprawianie, co pozwala na automatyczną modyfikację tych grup bezpieczeństwa, zastępując szeroko otwarty zakres CIDR zatwierdzonym CIDR intranetu firmy. Działa to na wielu kontach w AWS Organizations. Pozostałe opcje są nieprawidłowe: Polityka IAM odmawiająca tworzenia grup bezpieczeństwa z 0.0.0.0/0 zapobiegałaby nowym naruszeniom, ale nie naprawiałaby istniejących, ani nie byłaby scentralizowana w kontekście AWS Organizations. Funkcja AWS Lambda mogłaby skanować i naprawiać, ale wymagałaby większego nakładu pracy na utrzymanie i zarządzanie niż wbudowane możliwości AWS Config. Polityka kontroli usług (SCP) może blokować tworzenie zasobów, ale nie ma wbudowanej funkcji automatycznego naprawiania konfiguracji zasobów, ani nie jest przeznaczona do modyfikowania istniejących grup bezpieczeństwa.