Компания должна хранить данные Amazon CloudWatch Logs в течение 90 дней и получать оповещения в AWS Security Hub, когда политика хранения любой группы журналов не соответствует требованиям. Какое решение обеспечивает необходимые уведомления?

Правильное решение — использовать управляемое правило AWS Config, которое оценивает сроки хранения групп журналов, и убедиться, что AWS Config интегрирован с Security Hub. AWS Config предназначен для оценки соответствия ресурсов AWS заданным политикам, включая сроки хранения CloudWatch Logs. Управляемое правило cloudwatch-log-group-retention-period-check может быть использовано для этой цели. При нарушении правила AWS Config генерирует событие, которое Security Hub может получить через свою интеграцию, создавая соответствующее оповещение. Остальные варианты не подходят: Создание пользовательского действия в Security Hub не позволит напрямую оценивать сроки хранения CloudWatch Logs. Пользовательские действия обычно используются для реагирования на найденные проблемы. Создание политики защиты данных CloudWatch Logs не оценивает сроки хранения, а фокусируется на обнаружении и маскировании конфиденциальных данных в логах. Создание правила автоматизации Security Hub также не предназначено для оценки конфигурации ресурсов, а скорее для автоматического реагирования на уже существующие оповещения.