Lambda + EventBridge로 RDS 수동 백업 해제를 감지하고 통지하는 구성을 만들어 봤습니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sns:Publish"
            ],
            "Resource": "arn:aws:sns:ap-northeast-2:xxxxxxxxxx"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": "arn:aws:logs:*:*:*"
        }
    ]
}

import boto3
from datetime import datetime

sns = boto3.client('sns')
SNS_TOPIC_ARN = 'arn:aws:sns:ap-northeast-2:xxxxxxxxxx'

def lambda_handler(event, context):
    detail = event.get('detail', {})
    req_params = detail.get('requestParameters', {})
    user_identity = detail.get('userIdentity', {})

    db_instance_id = req_params.get('DBInstanceIdentifier')
    backup_retention = req_params.get('backupRetentionPeriod')
    user_arn = user_identity.get('arn')
    event_time = detail.get('eventTime', datetime.utcnow().isoformat())
    event_name = detail.get('eventName')

    message_lines = ["🔒 [보안 알림] RDS 백업 설정이 변경되었습니다.\n"]

    if db_instance_id:
        message_lines.append(f"📌 DB 인스턴스 ID: {db_instance_id}")
    if event_name:
        message_lines.append(f"📌 이벤트 유형: {event_name}")
    if backup_retention is not None:  # 0도 의미 있으므로 None 체크
        message_lines.append(f"📌 백업 보존 기간: {backup_retention}일")
    if event_time:
        message_lines.append(f"📌 변경 시각: {event_time}")
    if user_arn:
        message_lines.append(f"📌 변경 사용자: {user_arn}")

    message_lines.append("\n⚠️ 백업 보존 기간이 0일로 설정되면 자동 백업이 비활성화되어 데이터 복구가 어려워질 수 있습니다.")
    message_lines.append("빠른 확인과 조치를 권장합니다.\n")
    message_lines.append("▶ 자세한 내용은 CloudTrail 콘솔에서 확인하세요:")
    message_lines.append("https://console.aws.amazon.com/cloudtrail/home#/events")

    message = "\n".join(message_lines)

    sns.publish(
        TopicArn=SNS_TOPIC_ARN,
        Subject="[보안 알림] RDS 백업 설정 변경 감지",
        Message=message
    )

{
  "source": ["aws.rds"],
  "detail-type": ["AWS API Call via CloudTrail"],
  "detail": {
    "eventName": ["ModifyDBInstance"],
    "requestParameters": {
      "backupRetentionPeriod": [0]
    }
  }
}