Uma auditoria identificou ameaças potenciais que poderiam aparecer como picos no acesso DNS, tráfego anormal de instâncias EC2, tráfego anormal de interface de rede e chamadas de API do Amazon S3 incomuns, originadas de várias fontes a qualquer momento. A empresa precisa de monitoramento contínuo e quase em tempo real para detectar essas ameaças. Qual solução atenderá a esses requisitos?

A opção correta é habilitar o Amazon GuardDuty a partir de uma conta centralizada. O GuardDuty é um serviço de detecção de ameaças que monitora continuamente atividades maliciosas e comportamentos não autorizados para proteger contas e cargas de trabalho da AWS. Ele analisa logs de eventos do AWS CloudTrail, VPC Flow Logs e logs DNS, que são as fontes de dados mencionadas para detectar os tipos de anomalias descritos (picos de DNS, tráfego EC2/rede anormal, chamadas S3 incomuns). A opção de usar CloudTrail, VPC Flow Logs e logs DNS com Amazon CloudWatch Logs para gerenciamento centralizado forneceria os dados, mas exigiria a criação e manutenção de regras e alarmes personalizados para detecção, o que não é tão eficiente ou abrangente quanto o GuardDuty. O Amazon Macie é um serviço de segurança de dados e privacidade que usa aprendizado de máquina para descobrir, classificar e proteger dados confidenciais no Amazon S3, não sendo a ferramenta principal para detecção de ameaças baseada em logs de rede e API. O Amazon Inspector é um serviço de gerenciamento de vulnerabilidades que verifica cargas de trabalho da AWS em busca de vulnerabilidades de software e desvios de melhores práticas, não sendo projetado para monitorar e analisar logs de segurança em tempo real para detecção de ameaças como o GuardDuty.