Una empresa de comercio electrónico ejecuta su aplicación web en Amazon Elastic Container Service (Amazon ECS). Las imágenes de contenedor se almacenan en Amazon Elastic Container Registry (Amazon ECR). El equipo de seguridad necesita un escaneo de imágenes continuo y al momento de la inserción (on-push), debe ver los hallazgos en un panel centralizado junto con otros hallazgos de seguridad y debe excluir repositorios específicos del escaneo. ¿Qué solución cumplirá con estos requisitos?

La opción correcta es utilizar Amazon Inspector para el escaneo de imágenes de ECR. Amazon Inspector ofrece escaneo continuo y al momento de la inserción (on-push) para imágenes en ECR, detectando vulnerabilidades y desviaciones de políticas. La configuración de filtros de inclusión en ECR permite excluir repositorios específicos del escaneo, cumpliendo con el requisito. Finalmente, enviar los hallazgos de Amazon Inspector a AWS Security Hub centraliza la información de seguridad, lo que facilita la visualización junto con otros hallazgos. Las opciones incorrectas son: "Escaneo básico de imágenes de ECR" no ofrece escaneo continuo ni las capacidades avanzadas de análisis de vulnerabilidades de Inspector. Enviar hallazgos a Amazon Inspector desde el escaneo básico no tiene sentido, ya que Inspector es la herramienta de escaneo. Enviar hallazgos a AWS Config es incorrecto porque AWS Config se utiliza para evaluar la conformidad de los recursos con las políticas, no para centralizar hallazgos de seguridad como Security Hub.