Un penetration tester ha eseguito scansioni interne delle porte sulle istanze EC2 dell'azienda e le scansioni non sono state rilevate. L'azienda desidera una notifica automatica quando vengono rilevate scansioni delle porte. Hanno creato e sottoscritto un argomento SNS. Cosa dovrebbero fare successivamente per ricevere le notifiche di scansione delle porte?

L'opzione corretta è abilitare Amazon GuardDuty, creare un allarme CloudWatch e collegarlo all'argomento SNS. GuardDuty è un servizio di rilevamento delle minacce che monitora continuamente le attività dannose e i comportamenti non autorizzati per proteggere gli account AWS e i carichi di lavoro. È specificamente progettato per rilevare attività come le scansioni delle porte sulle istanze EC2. Una volta che GuardDuty rileva una scansione, genera un risultato (finding) che può essere inoltrato a CloudWatch Events. Da lì, è possibile configurare un allarme CloudWatch per attivarsi su specifici tipi di risultati di GuardDuty (come i rilevamenti di scansione delle porte EC2) e inviare una notifica all'argomento SNS esistente. Le opzioni che coinvolgono Amazon Inspector sono errate perché Inspector è principalmente un servizio di gestione delle vulnerabilità e non è progettato per il rilevamento in tempo reale delle scansioni delle porte. Le opzioni che coinvolgono CVE o raggiungibilità di rete non affrontano direttamente il problema delle scansioni delle porte. L'opzione CloudTrail è errata perché, sebbene CloudTrail registri le chiamate API, non è ottimizzato per il rilevamento in tempo reale di modelli di traffico di rete come le scansioni delle porte e richiederebbe una logica complessa e costosa per analizzare i log a tale scopo.