한 회사에서 Amazon EC2 인스턴스 및 Amazon Elastic Container Registry(Amazon ECR)의 컨테이너 이미지에 대한 호스트 기반 보안이 필요합니다. SSM Agent는 모든 EC2 인스턴스에 설치되어 있습니다. 모든 AWS 계정은 단일 AWS Organizations 조직에 있습니다. 이 회사는 소프트웨어 취약성 및 의도하지 않은 네트워크 노출에 대해 워크로드를 분석하고 조직 수준에서 AWS Security Hub로 결과를 보낼 것입니다. 이 솔루션은 모든 현재 및 새 멤버 계정에 자동으로 배포되고 새 워크로드가 나타나면 자동으로 스캔해야 합니다. 어떤 솔루션이 이러한 요구 사항을 충족합니까?

정답은 조직의 Amazon Inspector에 대한 위임된 관리자를 지정하고 새 멤버 계정에 대한 자동 스캔을 활성화하는 것입니다. Amazon Inspector는 EC2 인스턴스 및 ECR 컨테이너 이미지에 대한 자동화된 취약성 관리 서비스로, 소프트웨어 취약성 및 의도하지 않은 네트워크 노출을 분석합니다. AWS Organizations와 통합되어 조직 수준에서 Inspector를 중앙에서 관리하고 모든 현재 및 새 멤버 계정에 대한 자동 스캔을 활성화할 수 있습니다. Inspector는 결과를 Security Hub로 보낼 수 있습니다. SCP는 권한을 제한하는 데 사용되며 스캔을 구성하는 데는 사용되지 않습니다. GuardDuty는 위협 탐지 서비스이며 취약성 스캔에는 적합하지 않습니다. EventBridge는 ECR 이미지 분석을 시작하는 데 사용될 수 있지만, Inspector의 조직 통합 및 자동 스캔 기능을 대체하지는 못합니다. AWS Config 규칙은 리소스 구성을 평가하는 데 사용되며, Inspector의 기본 스캔 기능을 대체하지 않습니다.