Ein Unternehmen betreibt Web- und mobile Anwendungen in Amazon ECS-Containern mit dem Fargate-Starttyp. Jede Geschäftseinheit verwendet ein separates AWS-Konto und speichert Images in einem privaten Amazon Elastic Container Registry (Amazon ECR)-Repository in ihrem eigenen Konto. Ein Sicherheitsingenieur muss eine Lösung empfehlen, um ECS-Container und ECR-Registries auf Schwachstellen im Betriebssystem und in Sprachbibliotheken zu scannen. Das Audit-Team benötigt eine zentralisierte Übersicht über potenzielle Schwachstellen in allen Konten. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Antwort ist, Amazon Inspector in jedem Konto als ECR-Scanning-Dienst zu konfigurieren und die Ergebnisse an AWS Security Hub in einem zentralen Sicherheitskonto zu senden. Amazon Inspector bietet kontinuierliches Schwachstellen-Scanning für Container-Images in ECR, einschließlich Betriebssystem- und Sprachbibliotheken, und kann als erweiterter Scan-Typ konfiguriert werden. Security Hub konsolidiert die Ergebnisse aus mehreren Konten und Diensten und bietet eine zentralisierte Übersicht für das Audit-Team. AWS Config überwacht Konfigurationen, scannt aber nicht direkt auf Schwachstellen in Container-Images. AWS Audit Manager hilft bei der Compliance-Bewertung, ist aber kein Schwachstellen-Scanner. Amazon GuardDuty ist ein Bedrohungserkennungsdienst, der keine Schwachstellen in Container-Images scannt.