SCS-C03：AWS Certified Security - Specialty インフラストラクチャセキュリティ 問3
インフラストラクチャセキュリティ／コンピュートワークロードのセキュリティ制御稼働中の EC2 インスタンス、コンテナイメージ（Amazon ECR）、および Lambda 関数に含まれる既知の脆弱性（CVE）を、継続的かつ自動的にスキャンして検出したいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「インフラストラクチャセキュリティ」に対応。実際の試験問題ではありません）
- AAmazon Macie で CVE をスキャンする
- BAmazon Inspector を有効化し、EC2・コンテナイメージ・Lambda の既知の脆弱性を継続的に自動スキャンする
- CAmazon GuardDuty で既知の脆弱性（CVE）をスキャンする
- DAWS CloudTrail のログから脆弱性を検出する
正解：B
解説
Amazon Inspector は、EC2 インスタンス、Amazon ECR のコンテナイメージ、AWS Lambda 関数を対象に、既知の脆弱性（CVE）やネットワーク到達性の問題を継続的に自動スキャンする脆弱性管理サービスです。GuardDuty は脅威検出（挙動ベース）、Macie は S3 の機密データ検出、CloudTrail は API 監査が目的です。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。Macie は S3 の機密データ検出が目的で、CVE スキャンは行いません。
- B正しい。Inspector は EC2・コンテナイメージ・Lambda の既知の脆弱性を継続的に自動スキャンします。
- C誤り。GuardDuty は挙動ベースの脅威検出が目的で、CVE の脆弱性スキャンは行いません。
- D誤り。CloudTrail は API コールの監査記録で、脆弱性の検出はできません。