Компания требует, чтобы ни одна группа безопасности Amazon EC2 не разрешала доступ по SSH с 0.0.0.0/0. Компания хочет осуществлять непрерывный мониторинг соответствия и получать уведомления в режиме, близком к реальному времени, если какая-либо группа безопасности перестает соответствовать требованиям. Инженер по безопасности включил AWS Config с управляемым правилом restricted-ssh. Что должен сделать инженер далее, чтобы выполнить эти требования?

Правильный ответ использует EventBridge для реагирования на события изменения соответствия AWS Config в режиме, близком к реальному времени. AWS Config генерирует события при изменении статуса соответствия ресурса, и EventBridge может быть настроен для их перехвата и отправки уведомлений через SNS. Неправильные варианты: Доставка снимков в S3 и использование Lambda для их анализа слишком сложна и не обеспечивает уведомления в режиме, близком к реальному времени, так как снимки делаются периодически. Настройка CloudWatch Logs и фильтров метрик также является обходным путем. Хотя CloudWatch Logs может получать события Config, EventBridge — это более прямой и эффективный способ реагирования на события Config. Создание оповещения CloudWatch на метрике Config не является оптимальным, так как метрики Config обычно отражают агрегированное состояние, а не мгновенные изменения, необходимые для уведомлений, близких к реальному времени.