Un'azienda gestisce un cluster Amazon EKS (con un gruppo di nodi gestito da AWS) e archivia le immagini dei container in Amazon ECR. La policy di sicurezza richiede la scansione continua delle vulnerabilità di tutte le risorse AWS. Quale opzione soddisfa questo requisito con il minor overhead operativo?

Amazon Inspector è la soluzione nativa AWS per la scansione continua delle vulnerabilità. Supporta la scansione di istanze EC2 (che sono alla base dei nodi EKS gestiti) e dei repository ECR, soddisfacendo direttamente i requisiti con il minimo overhead operativo in quanto è un servizio completamente gestito. AWS Security Hub aggrega i risultati di sicurezza ma non esegue direttamente la scansione delle vulnerabilità dei nodi EKS o dei repository ECR; si basa su altri servizi come Inspector per generare questi risultati. L'installazione di un prodotto di terze parti su un'istanza EC2 introduce overhead di gestione e costi aggiuntivi. L'agente Amazon CloudWatch è per la raccolta di metriche e log, non per la scansione delle vulnerabilità.