Un'azienda ha centinaia di account AWS in una configurazione AWS Organizations a singola regione. Un account dedicato agli strumenti di sicurezza è l'amministratore delegato sia per Amazon GuardDuty che per AWS Security Hub. GuardDuty e Security Hub sono abilitati automaticamente per tutti gli account esistenti e nuovi. Durante i test di controllo, il team ha avviato un'istanza EC2 e ha emesso query DNS a example.com per attivare un rilevamento DNS di GuardDuty, ma nessun rilevamento è apparso nell'account amministratore delegato di Security Hub. Qual è la ragione più probabile per cui il rilevamento non è stato creato?

Il rilevamento DNS di GuardDuty si basa sull'analisi delle query DNS. Se il VPC utilizza un resolver DNS personalizzato (come OpenDNS) invece del resolver DNS fornito da AWS, GuardDuty non può ispezionare le query DNS per rilevare attività dannose, poiché il traffico DNS non passa attraverso i suoi sensori. I VPC Flow Logs non sono strettamente necessari per i rilevamenti DNS di GuardDuty, sebbene siano utili per altre tipologie di rilevamento e per l'analisi forense. L'integrazione di GuardDuty con Security Hub è gestita dall'account amministratore delegato e si applica a tutti gli account membri, quindi non è necessario abilitarla individualmente. L'aggregazione cross-Region non è rilevante in questo scenario, poiché la configurazione è a singola regione.