Uma empresa precisa de segurança baseada em host para instâncias EC2 e imagens de contêiner no Amazon Elastic Container Registry (Amazon ECR). O SSM Agent está instalado em todas as instâncias EC2. Todas as contas AWS estão em uma única organização do AWS Organizations. A empresa analisará as cargas de trabalho em busca de vulnerabilidades de software e exposição de rede não intencional e enviará as descobertas para o AWS Security Hub no nível da organização. A solução deve ser implantada automaticamente em todas as contas de membro atuais e novas e escanear automaticamente novas cargas de trabalho à medida que elas surgem. Qual solução atende a esses requisitos?

A resposta correta é designar um administrador delegado para o Amazon Inspector para a organização e habilitar a varredura automática para novas contas de membro. O Amazon Inspector é um serviço de gerenciamento de vulnerabilidades que pode escanear instâncias EC2 e imagens de contêiner no ECR. Ao designar um administrador delegado no AWS Organizations, o Inspector pode ser gerenciado centralmente e as descobertas consolidadas no Security Hub. A habilitação da varredura automática para novas contas de membro garante que a solução seja implantada automaticamente em todas as contas atuais e futuras. As SCPs (Service Control Policies) não configuram a varredura de segurança; elas definem permissões máximas. O Amazon GuardDuty é para detecção de ameaças, não para varredura de vulnerabilidades de software e exposição de rede. O AWS Config monitora a conformidade dos recursos, mas não inicia a varredura de imagens do ECR para vulnerabilidades.