Tester penetracyjny przeprowadził wewnętrzne skanowanie portów instancji EC2 firmy, a skanowanie pozostało niewykryte. Firma chce otrzymywać automatyczne powiadomienia o wykryciu skanowania portów. Utworzyli temat SNS i zasubskrybowali go. Co powinni zrobić dalej, aby otrzymywać powiadomienia o skanowaniu portów?

Poprawna odpowiedź to włączenie Amazon GuardDuty, utworzenie alarmu CloudWatch dla wyników skanowania portów i połączenie go z tematem SNS. GuardDuty to usługa wykrywania zagrożeń, która monitoruje złośliwe działania i nieautoryzowane zachowania, w tym skanowanie portów, wykorzystując dane z AWS CloudTrail, VPC Flow Logs i DNS Logs. Po wykryciu skanowania portów GuardDuty generuje wynik, który może wywołać alarm CloudWatch. Ten alarm może następnie wysłać powiadomienie do tematu SNS, zapewniając automatyczne alerty. Pozostałe opcje są nieprawidłowe: Amazon Inspector koncentruje się na ocenie luk w zabezpieczeniach i niezgodnościach z najlepszymi praktykami, a nie na wykrywaniu skanowania portów w czasie rzeczywistym. Wyniki CVE (Common Vulnerabilities and Exposures) w Amazon Inspector dotyczą znanych luk w oprogramowaniu, a nie aktywnego skanowania portów. AWS CloudTrail rejestruje działania API i zdarzenia w AWS, ale bezpośrednie monitorowanie skanowania portów za pomocą CloudTrail i funkcji Lambda jest mniej efektywne i bardziej złożone niż użycie GuardDuty, które jest do tego zaprojektowane.