Ein Penetrationstester führte interne Port-Scans gegen die EC2-Instanzen des Unternehmens durch, und die Scans blieben unentdeckt. Das Unternehmen möchte eine automatische Benachrichtigung erhalten, wenn Port-Scans erkannt werden. Sie haben ein SNS-Topic erstellt und abonniert. Was sollten sie als Nächstes tun, um Port-Scan-Benachrichtigungen zu erhalten?

Die korrekte Antwort ist, Amazon GuardDuty zu aktivieren und einen CloudWatch-Alarm für GuardDuty-Ergebnisse zu erstellen. GuardDuty ist ein Bedrohungserkennungsdienst, der kontinuierlich AWS-Konten und Workloads auf böswillige Aktivitäten und nicht autorisiertes Verhalten überwacht. Er kann Port-Scans erkennen und entsprechende Ergebnisse generieren. Ein CloudWatch-Alarm kann dann konfiguriert werden, um auf diese spezifischen GuardDuty-Ergebnisse zu reagieren und eine Benachrichtigung über das SNS-Topic zu senden. Amazon Inspector konzentriert sich auf die Bewertung von Sicherheitslücken in EC2-Instanzen und Anwendungen, nicht primär auf die Erkennung von Port-Scans in Echtzeit. CVE-Ergebnisse (Common Vulnerabilities and Exposures) beziehen sich auf bekannte Schwachstellen, nicht auf aktive Scan-Versuche. AWS CloudTrail protokolliert API-Aufrufe und Benutzeraktivitäten, ist aber nicht direkt für die Echtzeit-Erkennung von Netzwerk-Port-Scans konzipiert; die Analyse von CloudTrail-Logs auf ungewöhnlichen Traffic wäre komplex und weniger effizient als GuardDuty.