Das Unternehmen betreibt Anwendungen in AWS-Konten, die Mitglieder einer AWS Organizations-Organisation sind. Diese Anwendungen nutzen Amazon EC2 und Amazon S3. Das Unternehmen möchte kompromittierte EC2-Instances, verdächtiges Netzwerkverhalten und ungewöhnliche API-Aufrufe in aktuellen und zukünftigen Konten erkennen. Wenn solche Ereignisse erkannt werden, möchte das Unternehmen eine Benachrichtigung an ein bestehendes Amazon SNS-Thema senden, das von seinem Betriebsteam verwendet wird. Welcher Ansatz erfüllt diese Anforderungen und folgt den AWS-Best Practices?

Die korrekte Antwort ist die beste Wahl, da sie Amazon GuardDuty nutzt, einen verwalteten Bedrohungserkennungsdienst, der genau für die genannten Erkennungsanforderungen (kompromittierte EC2-Instanzen, verdächtiges Netzwerkverhalten, ungewöhnliche API-Aufrufe) entwickelt wurde. Die zentrale Verwaltung über ein GuardDuty-Administratorkonto und die Integration mit Amazon EventBridge zur Benachrichtigung über ein SNS-Thema sind AWS-Best Practices für die Sicherheitsüberwachung in einer AWS Organizations-Umgebung. Die Option mit CloudFormation StackSet ist weniger effizient, da GuardDuty eine native Organisationsintegration bietet, die keine manuellen Einladungen oder StackSets erfordert, um neue Konten hinzuzufügen. Die Optionen, die sich auf CloudTrail und Security Hub konzentrieren, sind zwar nützlich, aber GuardDuty ist der primäre Dienst für die Erkennung von Bedrohungen und Anomalien, die in der Frage beschrieben werden. Security Hub aggregiert Ergebnisse, aber GuardDuty ist der Detektor.