Компания использует кластер Amazon EKS (с управляемой группой узлов AWS) и хранит образы контейнеров в Amazon ECR. Политика безопасности требует непрерывного сканирования всех ресурсов AWS на наличие уязвимостей. Какой вариант соответствует этому требованию с наименьшими операционными издержками?

Amazon Inspector — это автоматизированный сервис сканирования уязвимостей, который непрерывно сканирует рабочие нагрузки AWS на наличие уязвимостей. Он поддерживает сканирование образов контейнеров в Amazon ECR и узлов Amazon EKS, что соответствует требованию непрерывного сканирования с минимальными операционными издержками, так как является полностью управляемым сервисом. AWS Security Hub агрегирует результаты сканирования из различных сервисов AWS, включая Inspector, но сам по себе не выполняет сканирование узлов EKS или ECR. Запуск EC2 с продуктом из Marketplace или установка агента CloudWatch требуют значительных операционных издержек на управление и обслуживание, что противоречит требованию минимизации издержек. CloudWatch не предназначен для сканирования уязвимостей.