金融サービス企業がAWS Organizations配下の20アカウントにまたがる以下の環境を運用しています。 【現在の構成】 ・350台以上のEC2インスタンス（us-east-1、eu-west-1に分散） ・Amazon ECR（Elastic Container Registry：コンテナイメージのマネージドレジストリ）に登録された60以上のコンテナイメージ（Amazon ECS Fargate本番環境で稼働） ・AWS Security Hubを全アカウントで有効化済み 【外部監査で指摘された問題】 ・深刻なCVE（Common Vulnerabilities and Exposures：共通脆弱性識別子）がEC2インスタンスに45日以上放置されていた ・脆弱性を含むコンテナイメージが本番環境にデプロイされていた ・脆弱性発見は週次手動レビューに依存しており、新規CVEが公開されても即時検知できない 【要件（すべて満たすこと）】 1. EC2インスタンスとECRコンテナイメージの両方を継続的・自動的にスキャンする 2. 新規CVEが公開された際、自動で再スキャンをトリガーする 3. 全20アカウントの検出結果を一元管理する 4. CVSSスコアだけでなくネットワーク到達可能性も考慮したリスク優先度付けを行う 5. 重大（Critical）な脆弱性を検出後24時間以内に自動パッチ適用する 運用オーバーヘッドを最小化しながら上記の要件をすべて満たす構成はどれですか？
Amazon Inspector v2はEC2・ECRの継続的スキャンを提供し、NVDなどに新規CVEが追加されると自動で再スキャンをトリガーします。Organizations統合により委任管理者アカウントから全20アカウントを一元管理でき、Network Reachability（ネットワーク到達可能性）分析でCVSSスコアに加えた実環境リスクを評価します。EventBridge + SSM AutomationでCriticalな脆弱性の自動パッチも実現できます。 選択肢BのInspector Classic（v1）は2023年末に廃止済みのため新規利用不可です。毎日スキャンは新規CVE公開時の即時再スキャン要件を満たさず、手動パッチは24時間自動化要件も満たしません。 選択肢CのGuardDutyは脅威検知（不審な挙動やマルウェア）サービスであり、CVE（ソフトウェアの脆弱性）のスキャンは対象外です。ECRコンテナイメージのCVEスキャン要件を満たせません。 選択肢DのPatch ManagerはOS既知パッチ適用には有効ですが、アプリケーション依存パッケージのCVE網羅検出には対応していません。ECRのベーシックスキャンはOSパッケージのみ対象で新規CVE公開時の自動再スキャンも行われません。