Компания хочет осуществлять непрерывный мониторинг для обнаружения случаев, когда какая-либо группа безопасности EC2 разрешает SSH из общедоступного интернета, и автоматически закрывать этот порт при обнаружении. Какую комбинацию действий должен выполнить администратор SysOps? (Выберите два варианта)

Правильный ответ включает добавление управляемого правила AWS Config и вызов runbook AWS Systems Manager Automation. Управляемое правило AWS Config (например, restricted-ssh) специально разработано для обнаружения групп безопасности EC2, которые разрешают входящий SSH-доступ (порт 22) из Интернета (0.0.0.0/0). Это обеспечивает непрерывный мониторинг и идентификацию несоответствующих ресурсов. После обнаружения нарушения, AWS Config может быть настроен на запуск AWS Systems Manager Automation runbook. Этот runbook может автоматически изменять правила группы безопасности, чтобы удалить или ограничить доступ по SSH, тем самым устраняя проблему. Создание сигнала CloudWatch для обнаружения групп безопасности не является прямым способом мониторинга конфигурации групп безопасности; CloudWatch в основном используется для мониторинга метрик и логов. Amazon Inspector предназначен для оценки уязвимостей на экземплярах EC2, а не для мониторинга конфигурации групп безопасности. Использование AWS Systems Manager Run Command требует ручного запуска или планирования и не обеспечивает автоматического реагирования на обнаруженные нарушения, в отличие от Automation runbook, который может быть вызван AWS Config.