Firma potrzebuje zabezpieczeń hosta dla instancji Amazon EC2 i obrazów kontenerów w Amazon Elastic Container Registry (Amazon ECR). SSM Agent jest zainstalowany na wszystkich instancjach EC2. Wszystkie konta AWS znajdują się w jednej organizacji AWS Organizations. Firma będzie analizować obciążenia pod kątem luk w zabezpieczeniach oprogramowania i niezamierzonej ekspozycji sieciowej, a wyniki będzie wysyłać do AWS Security Hub na poziomie organizacji. Rozwiązanie musi automatycznie wdrażać się na wszystkich obecnych i nowych kontach członkowskich oraz automatycznie skanować nowe obciążenia, gdy się pojawią. Które rozwiązanie spełnia te wymagania?

Prawidłowa odpowiedź to wyznaczenie delegowanego administratora dla Amazon Inspector dla organizacji i włączenie automatycznego skanowania dla nowych kont członkowskich. Amazon Inspector to usługa do zarządzania lukami w zabezpieczeniach, która integruje się z AWS Organizations, umożliwiając skanowanie instancji EC2 i obrazów kontenerów ECR na poziomie organizacji. Delegowany administrator może centralnie zarządzać Inspector dla wszystkich kont członkowskich. Automatyczne skanowanie nowych kont członkowskich zapewnia, że wszystkie obciążenia są natychmiast objęte ochroną. Wyniki są automatycznie wysyłane do AWS Security Hub. Pozostałe opcje są nieprawidłowe: Service control policies (SCP) służą do zarządzania uprawnieniami, a nie do konfigurowania skanowania luk w zabezpieczeniach. Amazon GuardDuty to usługa wykrywania zagrożeń, a nie skaner luk w zabezpieczeniach instancji EC2 i obrazów kontenerów. Reguła AWS Config może monitorować zgodność zasobów, ale nie inicjuje skanowania luk w zabezpieczeniach w sposób, w jaki robi to Inspector.