ある製造業企業では、本番環境のEC2インスタンス（300台以上）に対して継続的なセキュリティ評価を実施したいと考えています。以下の要件があります。 - OSパッケージの既知CVEに基づく脆弱性評価とネットワーク到達性分析を継続的に実施する - 追加のセキュリティエージェントインストール作業を最小化する - 新しくデプロイされたインスタンスも自動的にスキャン対象に含める - 脆弱性情報をAWS Security Hubで一元管理する 最も適切な実装アプローチはどれですか？
Amazon Inspectorは、EC2インスタンスにSSM Agentが導入されていれば追加のエージェントなしで2種類の継続評価を実施できる。 ①OSインストール済みパッケージのCVE評価：インベントリを収集してNVDなどの脆弱性フィードと照合し、重大度付きの調査結果を生成する。 ②ネットワーク到達性分析：セキュリティグループ・NACLなどのネットワーク設定を解析して外部から到達可能なポートを検出する。 新規EC2インスタンスはSSM Agentの存在が確認されると自動的にスキャン対象に追加され、検出結果はSecurity Hubへネイティブ統合されるため追加設定なしで一元管理が可能となる。 選択肢AのAWS Systems Manager Patch Managerは、パッチ適用の自動化と適用状況管理が目的であり、CVEに基づく脆弱性の特定とネットワーク到達性の継続分析を行う機能を持っていない。 選択肢BのAWS Systems Manager Inventoryは、インストール済みソフトウェアのインベントリを収集できるが、収集データを脆弱性DBと照合してCVE評価を行う仕組みをConfig＋Lambdaで自前実装する必要があり、実装・維持の複雑性とコストが高い。 選択肢DのAmazon GuardDuty EC2 Malware Protectionは、EBSスナップショットスキャンで既知マルウェア感染を検出するサービスであり、OSパッケージのCVEスキャンやネットワーク到達性分析は行わない。