Un'azienda necessita di sicurezza basata su host per le istanze Amazon EC2 e le immagini container in Amazon Elastic Container Registry (Amazon ECR). SSM Agent è installato su tutte le istanze EC2. Tutti gli account AWS si trovano in un'unica organizzazione AWS Organizations. L'azienda analizzerà i carichi di lavoro per individuare vulnerabilità software ed esposizioni di rete non intenzionali e invierà i risultati ad AWS Security Hub a livello di organizzazione. La soluzione deve essere distribuita automaticamente a tutti gli account membri attuali e nuovi e scansionare automaticamente i nuovi carichi di lavoro non appena compaiono. Quale soluzione soddisfa questi requisiti?

L'opzione corretta è designare un amministratore delegato per Amazon Inspector per l'organizzazione e abilitare la scansione automatica per i nuovi account membri. Amazon Inspector è progettato per scoprire automaticamente e scansionare le istanze EC2 e le immagini container in ECR per vulnerabilità software ed esposizioni di rete. Quando configurato a livello di organizzazione con un amministratore delegato, Inspector si integra automaticamente con AWS Security Hub e distribuisce la scansione a tutti gli account membri attuali e futuri, soddisfacendo i requisiti di automazione e centralizzazione. Le SCP non configurano la scansione, ma impongono permessi. GuardDuty è per la rilevazione delle minacce, non per la scansione delle vulnerabilità di EC2/ECR. AWS Config non avvia la scansione delle immagini ECR; Inspector lo fa nativamente.