ある電子商取引企業は Amazon ECR にコンテナイメージを保存し、Amazon ECS on Fargate でアプリケーションをデプロイしています。セキュリティチームは、コンテナイメージに含まれるOSパッケージおよびアプリケーション依存ライブラリ（Python・Node.js パッケージ等）の既知の脆弱性（CVE）を継続的に検出し、CVSSスコアとともに Security Hub の一元ダッシュボードで管理することを求めています。また新しいイメージが ECR にプッシュされた際も自動的にスキャンされる必要があります。この要件を最も満たすソリューションはどれですか？
ECRの拡張スキャンはAmazon Inspector v2 との統合で実現される機能であり、OSパッケージに加えてPython・Node.js・Ruby・Java等のアプリケーション依存ライブラリの CVE も検出対象とします。新しいイメージのプッシュ時スキャンと、新たな CVE が公開された際に既存イメージを再評価する継続的スキャンの両方に対応し、検出結果には CVSS スコアと影響パッケージ情報が含まれます。Inspector は Security Hub へのネイティブ統合を持ち、追加実装なしで検出結果を一元集約できます。 選択肢AのAmazon GuardDuty Runtime Monitoring は、ECS Fargate タスクの実行時に不審なプロセス起動・システムコール・ネットワーク接続を検出する脅威検出機能です。コンテナイメージ内のパッケージに潜在する CVE を事前に静的スキャンする機能ではないため、この要件には対応できません。 選択肢CのECR基本スキャン（Clair）は、OSパッケージのCVEスキャンは可能ですが、Python・Node.js等のアプリケーション依存ライブラリのスキャンには非対応です。Security Hub へのネイティブ統合もなく Lambda による中間処理が必要となるため、全要件を満たせません。 選択肢DのAmazon Inspector v2 をEC2向けのみで有効化するアプローチでは、ECR コンテナイメージを直接スキャンできません。ECR の拡張スキャン機能を有効化しない限り Inspector はイメージに対してスキャンを実施せず、Lambda による突き合わせでは継続的スキャンも実現できません。