Ein Unternehmen migriert containerisierte Workloads zu Amazon Elastic Container Service (Amazon ECS)-Clustern. Das Unternehmen muss potenzielle Bedrohungen in den Workloads erkennen und die Sicherheitslage der Cluster verbessern. Welche Lösung erfüllt diese Anforderungen?

Amazon GuardDuty Runtime Monitoring bietet eine spezialisierte Bedrohungserkennung für containerisierte Workloads, einschließlich Amazon ECS. Es analysiert Laufzeitereignisse wie Dateizugriffe, Prozessausführungen und Netzwerkaktivitäten innerhalb der Container, um bösartige oder ungewöhnliche Verhaltensweisen zu identifizieren. Dies erfüllt die Anforderung, potenzielle Bedrohungen in den Workloads zu erkennen und die Sicherheitslage zu verbessern. Die Aktivierung von Amazon Inspector für die VPC ist unzureichend, da Inspector primär Schwachstellen in EC2-Instanzen und Container-Images scannt, aber keine Laufzeitüberwachung für aktive Container bietet. Die Prüfung von ECS-API-Aufrufen mit CloudWatch Logs kann unautorisierten Zugriff auf die ECS-API erkennen, überwacht aber nicht die Aktivitäten innerhalb der Container selbst. Das Platzieren aller Cluster in einer VPC und die Verwendung von VPC Flow Logs helfen bei der Netzwerküberwachung, bieten jedoch keine detaillierte Bedrohungserkennung auf Container-Laufzeitebene.