セキュリティ監査により、ある企業のAWSアカウント内の複数のEC2インスタンスが、インターネット（0.0.0.0/0）に対してポート22（SSH）を開放していることが発覚しました。 コンプライアンス要件として、今後このようなセキュリティグループの設定変更が検出された場合は、手動の介入なしに自動的かつ即座にルールを削除または修正して修復する必要があります。 この要件を最も効率的に実現するAWSサービスの組み合わせはどれですか。
AWS ConfigはAWSリソースの構成を評価、監査、審査するサービスです。管理ルールである「restricted-ssh」は、セキュリティグループがインターネット（0.0.0.0/0）からのSSHトラフィック（ポート22）を許可しているかどうかを継続的に監視します。非準拠のリソースが検出された場合、AWS Configの「自動修復（Auto Remediation）」機能を利用することで、インシデントに即座に対応できます。修復アクションにはAWS Systems Manager Automationランブック（例：AWS-DisablePublicAccessForSecurityGroup）をネイティブに関連付けることができ、管理者の介入なしに自動的に該当するセキュリティグループのルールを修正・削除してコンプライアンス状態を復旧させます。 選択肢Bは、CloudTrailログをAthenaでクエリするLambda関数をスケジュール実行する方法では「即座に」という要件を満たせません。Lambda関数の実行間隔分だけ検知が遅れ、その間も脆弱なセキュリティグループ設定が維持されます。 選択肢Cは、VPCフローログはネットワークトラフィックの記録であり、セキュリティグループの設定変更（構成変更）を検知する手段ではありません。またCloudWatch Alarmは通知のみで自動修復の機能を持ちません。 選択肢Dは、Trusted Advisorのセキュリティチェックは週次レポートによる通知であり、さらにサポートチームが手動でスクリプトを実行する設計のため、「手動の介入なし」「即座に修復」という要件をいずれも満たしません。