あるセキュリティチームは、AWS環境全体で「インターネット全体（0.0.0.0/0）からSSH（ポート22）またはRDP（ポート3389）への接続を許可するセキュリティグループ」を継続的かつリアルタイムで検出し、違反が発見されたら自動修復したいと考えています。このユースケースに最も適したアーキテクチャはどれですか？
AWS Config のマネージドルール「restricted-ssh」と「restricted-common-ports」は、0.0.0.0/0からSSH（22番）やRDP（3389番）への接続を許可するセキュリティグループを継続的に評価します。非準拠が検出された際に Systems Manager Automation ドキュメント（例：AWS-DisablePublicAccessForSecurityGroup）を自動修復アクションとして設定することで、手動介入なしにリスクを排除できます。 選択肢AのGuardDuty UnauthorizedAccessはGuardDutyは実際の不正アクセス試行を検出するものであり、設定ミスとしての過剰な許可ルールを事前に検出する機能はありません。 選択肢CのInspector v2 月次スキャンはネットワーク到達可能性評価は可能ですが、月次レポートでは「継続的なリアルタイム検出と自動修復」の要件を満たせません。 選択肢DのCloudTrail＋EventBridge＋Lambdaは変更イベントベースのため既存の違反ルールを検出できず、Configの「継続的コンプライアンス評価」という核心機能を活用していません。