Una empresa necesita seguridad basada en host para instancias de Amazon EC2 e imágenes de contenedores en Amazon Elastic Container Registry (Amazon ECR). SSM Agent está instalado en todas las instancias EC2. Todas las cuentas de AWS están en una única organización de AWS Organizations. La empresa analizará las cargas de trabajo en busca de vulnerabilidades de software y exposición de red no intencionada, y enviará los hallazgos a AWS Security Hub a nivel de organización. La solución debe implementarse automáticamente en todas las cuentas de miembros actuales y nuevas, y escanear automáticamente las nuevas cargas de trabajo a medida que aparezcan. ¿Qué solución cumple estos requisitos?

La opción correcta es designar un administrador delegado para Amazon Inspector y habilitar el escaneo automático para nuevas cuentas. Amazon Inspector es el servicio de seguridad basado en host de AWS que escanea instancias EC2 y repositorios ECR en busca de vulnerabilidades de software y exposición de red. Al designar un administrador delegado en AWS Organizations, se centraliza la gestión de Inspector para todas las cuentas. Habilitar el escaneo automático para nuevas cuentas de miembros asegura que las cargas de trabajo se escaneen automáticamente a medida que aparecen, y los hallazgos se envían a Security Hub a nivel de organización. Las SCPs no configuran el escaneo directamente; solo restringen acciones. GuardDuty es para detección de amenazas, no para escaneo de vulnerabilidades de host o contenedores. AWS Config es para evaluar la conformidad de los recursos, no para iniciar escaneos de vulnerabilidades de Inspector.