Ein Unternehmen betreibt interne Microservices auf Amazon Elastic Container Service (Amazon ECS) mit dem Amazon EC2-Starttyp und verwendet private Amazon Elastic Container Registry (Amazon ECR)-Repositorys. Ein Sicherheitsingenieur muss die ECR-Repositorys mit AWS Key Management Service (AWS KMS) verschlüsseln und Container-Images auf gängige Schwachstellen und Expositionen (CVEs) scannen. Welche Lösung erfüllt diese Anforderungen?

Die Neuanlage der ECR-Repositorys ist erforderlich, da die KMS-Verschlüsselung eine Einstellung auf Repository-Ebene ist, die nur bei der Erstellung des Repositorys konfiguriert werden kann. Das Aktivieren des ECR-Image-Scannings ist der direkte und integrierte Weg, um Container-Images auf CVEs zu überprüfen. Der Scan-Bericht wird nach dem nächsten Image-Push verfügbar sein, da ECR das Scannen bei jedem Push automatisch durchführt. Die erste Option ist falsch, da KMS-Verschlüsselung für ECR-Repositorys nicht nachträglich aktiviert werden kann und Amazon Inspector nicht für das Scannen von ECR-Images auf CVEs zuständig ist. Die dritte Option ist falsch, da der AWS Systems Manager Agent und Bestandsberichte nicht direkt für das Scannen von ECR-Images auf CVEs verwendet werden. Die vierte Option ist falsch, da KMS-Verschlüsselung nicht nachträglich aktiviert werden kann und AWS Trusted Advisor keine CVE-Scans für ECR-Images durchführt.