AWS CloudTrail에서 보안 그룹 변경을 감지하고 Lambda와 EventBridge를 이용하여 이메일 통지를 해 봤습니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "sns:Publish"
            ],
            "Resource": "arn:aws:sns:ap-northeast-2:xxxxxxxxx"
        }
    ]
}

import json
import boto3

sns_topic_arn = 'arn:aws:sns:ap-northeast-2:xxxxxxxxxxx'
sns = boto3.client('sns')

def lambda_handler(event, context):
    detail = event['detail']
    event_name = detail['eventName']
    user = detail['userIdentity']['arn']
    sg_id = detail.get('requestParameters', {}).get('groupId', 'N/A')

    message = f"""
    🚨 보안 그룹 변경 탐지
    - 이벤트: {event_name}
    - 사용자: {user}
    - 보안 그룹 ID: {sg_id}
    """

    sns.publish(
        TopicArn=sns_topic_arn,
        Subject='[알림] 보안 그룹 변경 감지',
        Message=message
    )

    return {'statusCode': 200, 'body': '알림 전송 완료'}

{
  "source": ["aws.ec2"],
  "detail-type": ["AWS API Call via CloudTrail"],
  "detail": {
    "eventName": [
      "AuthorizeSecurityGroupIngress",
      "RevokeSecurityGroupIngress",
      "AuthorizeSecurityGroupEgress",
      "RevokeSecurityGroupEgress",
      "CreateSecurityGroup",
      "DeleteSecurityGroup"
    ]
  }
}