Un audit di sicurezza mostra che le istanze Amazon EC2 non vengono patchate regolarmente. Un architetto di soluzioni deve eseguire scansioni di sicurezza regolari su un'ampia flotta EC2, applicare patch con una pianificazione regolare e fornire un report sullo stato delle patch di ogni istanza. Quale soluzione soddisfa questi requisiti?

La soluzione corretta sfrutta Amazon Inspector e AWS Systems Manager Patch Manager. Amazon Inspector è un servizio di gestione delle vulnerabilità che esegue la scansione delle istanze EC2 per identificare vulnerabilità software e deviazioni dalle best practice. Questo soddisfa il requisito di scansioni di sicurezza regolari e fornisce report sullo stato delle patch. AWS Systems Manager Patch Manager automatizza il processo di applicazione delle patch sui server, inclusi gli aggiornamenti di sicurezza e altri tipi di patch, su una pianificazione regolare, soddisfacendo il requisito di applicazione delle patch. Le opzioni errate non soddisfano tutti i requisiti: Amazon Macie è per la scoperta e la protezione dei dati sensibili in S3, non per la scansione delle vulnerabilità delle istanze EC2. Un cron job non è una soluzione scalabile o gestita per l'applicazione delle patch. Amazon GuardDuty è un servizio di rilevamento delle minacce che monitora attività dannose, non esegue la scansione delle vulnerabilità software. Session Manager è per l'accesso interattivo, non per l'applicazione automatica delle patch. Amazon Detective analizza, indaga e identifica la causa principale dei risultati di sicurezza, non esegue la scansione delle vulnerabilità. EventBridge può avviare azioni, ma non è lo strumento principale per la gestione delle patch.