Een bedrijf draait web- en mobiele applicaties in Amazon ECS-containers met het Fargate-lanceringstype. Elke bedrijfseenheid gebruikt een afzonderlijk AWS-account en slaat images op in een private Amazon Elastic Container Registry (Amazon ECR)-repository in zijn eigen account. Een beveiligingsingenieur moet een oplossing aanbevelen om ECS-containers en ECR-registries te scannen op kwetsbaarheden in het besturingssysteem en de taalbibliotheken. Het auditteam heeft gecentraliseerd inzicht nodig in potentiële kwetsbaarheden in alle accounts. Welke oplossing voldoet aan deze vereisten?

Amazon Inspector is de juiste keuze omdat het kwetsbaarheidsscans biedt voor containerimages in ECR en ECS, inclusief scans van het besturingssysteem en taalbibliotheken. Door Inspector te configureren als de ECR-scanservice, wordt de diepgaande scanfunctionaliteit geactiveerd. Het doorsturen van bevindingen naar AWS Security Hub in een centraal beveiligingsaccount zorgt voor gecentraliseerd inzicht en beheer voor het auditteam. AWS Config monitort configuratieconformiteit, niet kwetsbaarheden in containerimages. AWS Audit Manager is voor audit-gereedheid en compliance, niet voor technische kwetsbaarheidsscans. Amazon GuardDuty detecteert bedreigingen en onverwacht gedrag, maar scant geen containerimages op kwetsbaarheden.