ある企業は、CI/CDパイプラインを変更することなく、デプロイ済みのAWS Lambda関数に含まれるサードパーティパッケージの既知の脆弱性（CVE：Common Vulnerabilities and Exposures、公開されているソフトウェア脆弱性の識別子）と、関数コード自体のセキュリティ上の問題を継続的に検出したいと考えています。エージェントのインストールや関数コードの修正を一切行わずに実現する場合、最も適切なアプローチはどれですか？
Amazon Inspector はエージェントレスでLambda関数を継続的にスキャンする機能を提供しています。Lambda Standard Scanning では関数パッケージの依存関係に含まれるCVEを検出し、Lambda Code Scanning では関数コード自体のセキュリティ上の問題（ハードコードされた認証情報やインジェクションの脆弱性など）を検出します。デプロイ後に自動的にスキャンが実行されるため、CI/CDパイプラインの変更は不要です。 選択肢AのAmazon GuardDuty の Lambda Protection を有効化する方法はLambda実行時の不審なネットワーク通信や異常な動作を検出するためのものであり、CVEスキャンや静的コード解析は行いません。 選択肢CのAWS Security Hub の AWS 基礎セキュリティベストプラクティス（FSBP）標準を有効化する方法はLambdaの設定に関するベストプラクティスチェック（VPC内配置、コード署名の有効化など）を行うものであり、依存パッケージのCVE検出やコードセキュリティ分析は対象外です。 選択肢DのAWS Systems Manager Patch Manager を使用する方法はEC2インスタンスなどのマネージドノードへのOSパッチ適用を管理するサービスであり、Lambda関数の脆弱性スキャンには対応していません。