Пентестер выполнил внутреннее сканирование портов экземпляров EC2 компании, и эти сканирования остались незамеченными. Компания хочет получать автоматические уведомления при обнаружении сканирования портов. Они уже создали топик SNS и подписались на него. Что им следует сделать дальше, чтобы получать уведомления о сканировании портов?

Правильный ответ — включить Amazon GuardDuty, создать оповещение CloudWatch для EC2 и обнаружений сканирования портов, а затем подключить это оповещение к топику SNS. GuardDuty — это служба обнаружения угроз, которая постоянно отслеживает вредоносную активность и несанкционированное поведение для защиты учетных записей и рабочих нагрузок AWS. Она обнаруживает сканирование портов как тип необычной активности. Обнаружения GuardDuty можно отправлять в CloudWatch Events (теперь Amazon EventBridge), что позволяет создавать правила для автоматического запуска действий, таких как отправка уведомлений через SNS. Amazon Inspector фокусируется на оценке уязвимостей и несоответствий конфигурации в экземплярах EC2 и контейнерах, но не предназначен для обнаружения сканирования портов в реальном времени. Обнаружения CVE (Common Vulnerabilities and Exposures) также относятся к уязвимостям, а не к активному сканированию. AWS CloudTrail записывает вызовы API AWS и события, связанные с учетными записями, но не предназначен для обнаружения сетевого сканирования портов. Хотя можно было бы анализировать логи CloudTrail на предмет необычного трафика, это было бы гораздо более сложным и менее эффективным решением для обнаружения сканирования портов по сравнению с GuardDuty, который специально разработан для этого.