GlobalBank управляет 40 аккаунтами AWS в AWS Organizations. Команде безопасности требуется централизованное применение политик, чтобы: (1) все интернет-ориентированные ALB имели стандартный AWS WAF web ACL, (2) общеорганизационные правила групп безопасности предотвращали доступ с 0.0.0.0/0, за исключением утвержденных портов, и (3) Shield Advanced был включен для интернет-ориентированных ресурсов с доступом DRT. Они хотят автоматического применения к новым аккаунтам и ресурсам. Что им следует реализовать?

AWS Firewall Manager — это централизованный сервис для управления правилами брандмауэра в AWS Organizations. Он позволяет создавать политики для AWS WAF, групп безопасности и AWS Shield Advanced, которые автоматически применяются ко всем учетным записям и ресурсам в указанных организационных единицах (OU). Это обеспечивает автоматическое применение требуемых политик безопасности к новым учетным записям и ресурсам, что соответствует всем трем требованиям GlobalBank. SCPs (Service Control Policies) управляют разрешениями, но не применяют конфигурации ресурсов, такие как WAF или правила групп безопасности. AWS Config может обнаруживать несоответствия, но не применяет исправления автоматически. Amazon Inspector фокусируется на оценке уязвимостей и сетевой доступности, но не предоставляет централизованное применение политик WAF, групп безопасности или Shield Advanced.