Un audit a identifié des menaces potentielles qui pourraient apparaître sous forme de pics d'accès DNS, de trafic anormal d'instances EC2, de trafic anormal d'interfaces réseau et d'appels d'API Amazon S3 inhabituels, provenant de diverses sources à tout moment. L'entreprise a besoin d'une surveillance continue et quasi en temps réel pour détecter ces menaces. Quelle solution répondra à ces exigences ?

Amazon GuardDuty est un service de détection des menaces qui surveille en continu les activités malveillantes et les comportements non autorisés pour protéger les comptes et les charges de travail AWS. Il analyse les journaux AWS CloudTrail, les VPC Flow Logs et les journaux DNS, ce qui correspond précisément aux sources de données mentionnées dans l'audit (pics d'accès DNS, trafic EC2/réseau anormal, appels S3 inhabituels). GuardDuty fournit une détection quasi en temps réel et est conçu pour identifier ces types de menaces sans nécessiter de configuration manuelle complexe des règles. Les autres options sont moins adaptées : L'activation de CloudTrail, VPC Flow Logs et des journaux DNS avec CloudWatch Logs permet de collecter les données, mais ne fournit pas de détection automatique et continue des menaces sans une configuration complexe de règles CloudWatch Alarms ou l'intégration avec un autre service d'analyse. Amazon Macie est un service de découverte et de protection des données sensibles, pas un service de détection des menaces généraliste pour les activités réseau et API. Amazon Inspector est un service d'évaluation des vulnérabilités et de la conformité pour les instances EC2 et les images de conteneurs, et non un outil de surveillance des journaux pour la détection des menaces en temps réel.