Een bedrijf heeft host-based beveiliging nodig voor Amazon EC2-instances en container images in Amazon Elastic Container Registry (Amazon ECR). SSM Agent is geïnstalleerd op alle EC2-instances. Alle AWS-accounts bevinden zich in één AWS Organizations-organisatie. Het bedrijf analyseert workloads op softwarekwetsbaarheden en onbedoelde netwerkblootstelling en stuurt bevindingen naar AWS Security Hub op organisatieniveau. De oplossing moet automatisch worden geïmplementeerd in alle huidige en nieuwe lidaccounts en nieuwe workloads automatisch scannen zodra deze verschijnen. Welke oplossing voldoet aan deze vereisten?

De juiste oplossing is om een gedelegeerde beheerder voor Amazon Inspector aan te wijzen voor de organisatie en automatisch scannen in te schakelen voor nieuwe lidaccounts. Amazon Inspector is een geautomatiseerde kwetsbaarheidsbeheerservice die continu AWS-workloads scant op kwetsbaarheden. Het ondersteunt het scannen van EC2-instances en container images in ECR. Door een gedelegeerde beheerder in te stellen en automatisch scannen in te schakelen, wordt Inspector automatisch geactiveerd voor alle huidige en toekomstige accounts binnen de AWS Organization, en worden nieuwe workloads automatisch gescand. Inspector stuurt bevindingen ook automatisch naar AWS Security Hub. SCPs (Service Control Policies) kunnen geen scanfunctionaliteit configureren; ze beperken alleen AWS-serviceacties. Amazon GuardDuty richt zich op bedreigingsdetectie, niet op kwetsbaarheidsbeheer van hosts en containers, en vereist een complexere integratie met EventBridge voor ECR-scans. Het gebruik van AWS Config-regels om ECR-image-analyse te initiëren is ook minder efficiënt en direct dan de ingebouwde automatische scanmogelijkheden van Inspector voor organisaties.