Uma empresa executa um cluster Amazon EKS (com um grupo de nós gerenciado pela AWS) e armazena imagens de contêiner no Amazon ECR. A política de segurança exige a varredura contínua de vulnerabilidades de todos os recursos da AWS. Qual opção atende a esse requisito com o menor overhead operacional?

A opção correta é habilitar o Amazon Inspector. O Amazon Inspector é um serviço de gerenciamento de vulnerabilidades que realiza varredura contínua de vulnerabilidades em instâncias EC2, imagens de contêiner no Amazon ECR e funções AWS Lambda. Ele oferece cobertura abrangente para os nós do EKS (que são instâncias EC2) e para as imagens de contêiner no ECR, atendendo ao requisito de varredura contínua com o menor overhead operacional, pois é um serviço totalmente gerenciado. As outras opções são incorretas porque: Habilitar o AWS Security Hub: O Security Hub é um agregador de descobertas de segurança e não um scanner de vulnerabilidades por si só. Ele pode receber descobertas do Inspector, mas não realiza a varredura diretamente. Iniciar uma instância EC2 com um produto do Marketplace: Esta abordagem introduz um overhead operacional significativo para gerenciar a instância e o software de terceiros, o que vai contra o requisito de "menor overhead operacional". Instalar o agente do Amazon CloudWatch: O CloudWatch é um serviço de monitoramento e observabilidade, não um scanner de vulnerabilidades. Ele coleta métricas e logs, mas não realiza varreduras de segurança.