公司希望持續監控，以偵測是否有任何 EC2 security group 允許來自公共網際網路的 SSH，並在偵測到時自動關閉該連接埠。SysOps 管理員應實施哪種組合動作？（選擇兩項）

要持續監控並自動修復安全群組，最佳方法是結合 AWS Config 和 AWS Systems Manager Automation。AWS Config managed rule (例如 restricted-ssh) 可以持續評估您的 AWS 資源，識別出允許來自 0.0.0.0/0 的 SSH 流量的安全群組。一旦 AWS Config 偵測到違規，它可以觸發 AWS Systems Manager Automation runbook。此 runbook 可以自動執行修復動作，例如修改安全群組規則以移除對 SSH 的公共存取。 CloudWatch alarm 適用於監控指標和日誌，但無法直接偵測安全群組配置違規。Amazon Inspector 專注於評估 EC2 執行個體的漏洞，而不是即時監控安全群組規則。AWS Systems Manager Run Command 用於在 EC2 執行個體上執行命令，但在此情境中，我們需要修改安全群組本身，而不是執行個體上的命令。