한 회사에서 단일 리전 AWS Organizations 설정에 수백 개의 AWS 계정을 가지고 있습니다. 전용 보안 툴링 계정은 Amazon GuardDuty와 AWS Security Hub의 위임된 관리자입니다. GuardDuty와 Security Hub는 모든 기존 및 새 계정에 자동으로 활성화됩니다. 제어 테스트 중에 팀은 EC2 인스턴스를 시작하고 GuardDuty DNS 탐지를 트리거하기 위해 example.com으로 DNS 쿼리를 발행했지만, Security Hub 위임된 관리자 계정에는 탐지가 나타나지 않았습니다. 탐지가 생성되지 않은 가장 가능성 있는 이유는 무엇입니까?

GuardDuty는 AWS DNS 리졸버를 통해 이루어지는 DNS 쿼리를 모니터링하여 DNS 관련 위협을 탐지합니다. VPC의 DHCP 옵션 세트가 사용자 지정 OpenDNS 리졸버를 가리키도록 구성된 경우, EC2 인스턴스의 DNS 쿼리가 AWS DNS 리졸버를 우회하게 되어 GuardDuty가 해당 쿼리를 모니터링할 수 없으므로 탐지가 생성되지 않습니다. VPC Flow Logs는 네트워크 트래픽 흐름을 기록하지만 GuardDuty의 DNS 탐지 기능에 직접적인 영향을 주지 않습니다. GuardDuty와 Security Hub 통합은 위임된 관리자 계정에서 자동으로 활성화되도록 설정되어 있으므로 문제가 되지 않습니다. 교차 리전 집계는 여러 리전의 결과를 통합하는 기능이며, 이 시나리오는 단일 리전 설정이므로 관련이 없습니다.