Ein Unternehmen benötigt Host-basierte Sicherheit für Amazon EC2-Instances und Container-Images in Amazon Elastic Container Registry (Amazon ECR). Der SSM Agent ist auf allen EC2-Instances installiert. Alle AWS-Konten befinden sich in einer einzigen AWS Organizations-Organisation. Das Unternehmen wird Workloads auf Software-Schwachstellen und unbeabsichtigte Netzwerkexposition analysieren und die Ergebnisse auf Organisationsebene an AWS Security Hub senden. Die Lösung muss automatisch in allen aktuellen und neuen Mitgliedskonten bereitgestellt werden und neue Workloads automatisch scannen, sobald sie erscheinen. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung ist, einen delegierten Administrator für Amazon Inspector für die Organisation zu benennen und das automatische Scannen für neue Mitgliedskonten zu aktivieren. Amazon Inspector ist ein automatisierter Schwachstellen-Management-Service, der kontinuierlich AWS-Workloads auf Software-Schwachstellen und unbeabsichtigte Netzwerkexposition scannt. Durch die Integration mit AWS Organizations kann ein delegierter Administrator Inspector zentral für alle Konten verwalten, einschließlich der automatischen Aktivierung für neue Mitgliedskonten. Inspector sendet seine Ergebnisse automatisch an AWS Security Hub. Service Control Policies (SCPs) sind für die Verwaltung von Berechtigungen gedacht, nicht für die Konfiguration von Scanning-Diensten. GuardDuty ist primär ein Bedrohungserkennungsdienst, nicht für das Scannen von Software-Schwachstellen oder Container-Images. Eine EventBridge-Regel könnte zwar Aktionen auslösen, aber GuardDuty ist nicht der richtige Dienst für diese Art von Scanning. Eine AWS Config-Regel ist für die Bewertung der Konformität von Ressourcen gedacht, nicht für die Initiierung von Schwachstellenscans von ECR-Images.