Una empresa ejecuta aplicaciones web y móviles en contenedores de Amazon ECS con el tipo de lanzamiento Fargate. Cada unidad de negocio utiliza una cuenta de AWS separada y almacena imágenes en un repositorio privado de Amazon Elastic Container Registry (Amazon ECR) en su propia cuenta. Un ingeniero de seguridad debe recomendar una solución para escanear los contenedores de ECS y los registros de ECR en busca de vulnerabilidades del sistema operativo y de las bibliotecas de lenguaje. El equipo de auditoría necesita visibilidad centralizada de las posibles vulnerabilidades en todas las cuentas. ¿Qué solución cumple estos requisitos?

Amazon Inspector es la solución correcta porque está diseñado específicamente para escanear imágenes de contenedor en Amazon ECR y cargas de trabajo en ejecución (como las de ECS Fargate) en busca de vulnerabilidades del sistema operativo y de las bibliotecas de lenguaje. Al configurarlo en cada cuenta para el escaneo de ECR y enviar los hallazgos a AWS Security Hub, se logra la visibilidad centralizada requerida por el equipo de auditoría. AWS Config monitorea la configuración, no escanea vulnerabilidades de contenido. AWS Audit Manager ayuda con la auditoría y el cumplimiento, no con el escaneo de vulnerabilidades técnicas. Amazon GuardDuty es un servicio de detección de amenazas que monitorea actividades maliciosas, no escanea imágenes de contenedor para vulnerabilidades.