ある会社は EC2 インスタンス上のアプリケーションと Amazon ECR（Elastic Container Registry）に保存されたコンテナイメージを運用しています。セキュリティチームは OS・パッケージレベルの既知の脆弱性（CVE: Common Vulnerabilities and Exposures — ソフトウェア脆弱性の共通識別番号）を継続的にスキャンし、重大度 Critical の脆弱性が検出された際に自動通知したいと考えています。最も運用負荷が低いソリューションはどれですか？
Amazon Inspector v2 は EC2 インスタンスと ECR コンテナイメージの脆弱性を継続的・自動的にスキャンするマネージドサービスです。EC2 は SSM Agent を介してスキャンされ、ECR への新規イメージプッシュ時も自動スキャンが実行されます。EventBridge との統合により Critical の所見を即時 SNS 通知する自動化が低負荷で実現できます。 選択肢AのCron ジョブは開発・保守コストが高く、脆弱性スキャンの網羅性や精度が専用サービスに劣るうえ、自動通知の仕組みも別途構築する必要があります。 選択肢CのPatch Manager はパッチ適用状況の管理に特化しており、CVE の網羅的スキャンや ECR コンテナイメージの脆弱性検出は対象外です。 選択肢DのGuardDuty Runtime Monitoring は実行時の異常行動を検出するサービスであり、OS・パッケージレベルの静的な脆弱性スキャンは行いません。