Een bedrijf runt een Amazon EKS-cluster (met een door AWS beheerde knooppuntgroep) en slaat containerimages op in Amazon ECR. Het beveiligingsbeleid vereist continue kwetsbaarheidsscans van alle AWS-resources. Welke optie voldoet aan deze vereiste met de minste operationele overhead?

Amazon Inspector is de AWS-service die specifiek is ontworpen voor continue kwetsbaarheidsscans van AWS-workloads, inclusief Amazon EKS-knooppunten (via EC2-instances) en Amazon ECR-containerimages. Het biedt geautomatiseerde en continue scans met minimale operationele overhead, wat direct aansluit bij de vraag. AWS Security Hub aggregeert beveiligingsbevindingen van verschillende AWS-services, waaronder Inspector, maar voert zelf geen scans uit. Het inschakelen ervan zou de bevindingen weergeven, maar niet de scans uitvoeren. Het starten van een EC2-instantie met een extern scanningproduct en het configureren daarvan introduceert aanzienlijke operationele overhead en is niet de meest efficiënte AWS-native oplossing. De Amazon CloudWatch-agent is bedoeld voor monitoring en logverzameling, niet voor kwetsbaarheidsscans. Hoewel ECR scan-on-push een basisscan uitvoert, dekt het niet de EKS-knooppunten en is het geen continue scan zoals gevraagd.