Uma empresa executa aplicações web e móveis em contêineres Amazon ECS com o tipo de inicialização Fargate. Cada unidade de negócio usa uma conta AWS separada e armazena imagens em um repositório privado do Amazon Elastic Container Registry (Amazon ECR) em sua própria conta. Um engenheiro de segurança deve recomendar uma solução para verificar contêineres ECS e registros ECR em busca de vulnerabilidades de sistema operacional e de bibliotecas de linguagem. A equipe de auditoria precisa de visibilidade centralizada sobre possíveis vulnerabilidades em todas as contas. Qual solução atende a esses requisitos?

A opção correta é configurar o Amazon Inspector em cada conta e enviar os resultados para o AWS Security Hub. O Amazon Inspector é o serviço da AWS projetado para varredura de vulnerabilidades em imagens de contêineres no ECR e em instâncias EC2, o que inclui a capacidade de escanear vulnerabilidades de sistema operacional e de bibliotecas de linguagem. Ao configurar o Inspector como o serviço de varredura do ECR, ele automaticamente analisa as imagens. A integração com o AWS Security Hub permite a agregação centralizada dos resultados de segurança de todas as contas, proporcionando a visibilidade centralizada que a equipe de auditoria necessita. As outras opções estão incorretas porque: O AWS Config monitora a conformidade da configuração dos recursos, não realiza varredura de vulnerabilidades de software dentro de contêineres ou imagens. O AWS Audit Manager ajuda a gerenciar auditorias e conformidade, mas não executa varreduras de vulnerabilidades técnicas em imagens de contêineres. O Amazon GuardDuty é um serviço de detecção de ameaças que monitora atividades maliciosas e comportamentos anômalos, mas não realiza varredura de vulnerabilidades em imagens de contêineres ou sistemas operacionais.