В ходе аудита безопасности были обнаружены группы безопасности, разрешающие SSH из 0.0.0.0/0. Команда безопасности должна как можно скорее обнаружить и устранить эту проблему во всех аккаунтах в рамках одной организации AWS Organizations. Какой подход обеспечивает обнаружение и автоматическое устранение?

Правильный ответ — включить AWS Config в каждом аккаунте, создать пользовательское правило AWS Config, которое запускается по триггеру изменения конфигурации restricted-ssh, и настроить правило на вызов Lambda для устранения несоответствующих ресурсов. AWS Config позволяет отслеживать изменения конфигурации ресурсов и оценивать их соответствие заданным правилам. Пользовательское правило AWS Config с триггером изменения конфигурации будет обнаруживать группы безопасности, разрешающие SSH из 0.0.0.0/0, а связанная функция Lambda может автоматически исправлять это несоответствие, удаляя или изменяя проблемные правила. Другие варианты менее эффективны: Использование управляемого правила vpe-sg-port-restriction-check не подходит, так как это правило предназначено для проверки портов VPC Endpoint, а не для общих групп безопасности. Создание Lambda, которая удаляет любые правила групп безопасности, является слишком агрессивным и может нарушить работу приложений. Документ Systems Manager Automation, запускаемый по расписанию, обеспечивает только периодическую проверку, а не обнаружение и устранение в реальном времени при изменении конфигурации.