Audyt zidentyfikował potencjalne zagrożenia, które mogą objawiać się jako nagłe skoki w dostępie do DNS, nietypowy ruch instancji EC2, nietypowy ruch interfejsu sieciowego oraz nietypowe wywołania API Amazon S3, pochodzące z różnych źródeł w dowolnym momencie. Firma potrzebuje ciągłego monitorowania w czasie zbliżonym do rzeczywistego, aby wykryć te zagrożenia. Które rozwiązanie spełni te wymagania?

Prawidłowa odpowiedź to włączenie Amazon GuardDuty ze scentralizowanego konta. GuardDuty to usługa wykrywania zagrożeń, która stale monitoruje konta i obciążenia AWS pod kątem złośliwej aktywności i nieautoryzowanych zachowań. Analizuje zdarzenia z AWS CloudTrail, VPC Flow Logs i DNS Logs, aby identyfikować anomalie, takie jak nagłe skoki dostępu do DNS, nietypowy ruch EC2, nietypowy ruch interfejsu sieciowego i nietypowe wywołania API S3, które są dokładnie tymi zagrożeniami, które firma chce wykryć w czasie zbliżonym do rzeczywistego. Pozostałe opcje są nieprawidłowe, ponieważ: Włączenie CloudTrail, VPC Flow Logs i dzienników DNS z zarządzaniem przez CloudWatch Logs wymagałoby ręcznego tworzenia reguł i alarmów do wykrywania zagrożeń, co nie jest rozwiązaniem ciągłego monitorowania w czasie zbliżonym do rzeczywistego, a także jest znacznie bardziej złożone i mniej efektywne niż GuardDuty. Użycie Amazon Macie jest nieprawidłowe, ponieważ Macie koncentruje się na wykrywaniu wrażliwych danych i ochronie danych, a nie na monitorowaniu zagrożeń bezpieczeństwa opartych na logach systemowych i sieciowych. Amazon Inspector jest usługą oceny podatności, która skanuje instancje EC2 i kontenery pod kątem luk w zabezpieczeniach, a nie monitoruje dzienników w czasie rzeczywistym w celu wykrywania anomalii behawioralnych.