Il ruolo dei detection services nell’esame

L’esame SCS-C03 tratta la detection come una catena: sorgenti che generano segnali, servizi che li analizzano, e un aggregatore che normalizza e prioritizza. La difficoltà non è ricordare cosa fa ogni servizio, ma scegliere quello giusto dato uno scenario multi-account e capire come si incastrano. La regola mentale: GuardDuty rileva attività sospette (threat detection), Inspector rileva vulnerabilità (vulnerability management), Macie rileva dati sensibili (data discovery), Detective aiuta a investigare, e Security Hub aggrega e valuta tutto. Confondere questi ruoli è l’errore che l’esame sfrutta più spesso.

GuardDuty, Inspector, Macie: le sorgenti di finding

Amazon GuardDuty fa continuous threat detection analizzando log senza che tu debba abilitarne l’ingestion: consuma CloudTrail management events (e opzionalmente S3 data events), VPC Flow Logs e DNS query logs come sorgenti fondazionali. Riconosce pattern come chiamate API anomale, comunicazioni verso IP malevoli noti, o credenziali EC2 usate da un altro account. Le protection plan aggiuntive coprono scenari specifici: S3 Protection, EKS/Runtime Monitoring, Malware Protection, RDS Protection, Lambda Protection. Punto d’esame: GuardDuty non richiede che tu attivi manualmente quei log; li legge da un flusso indipendente, quindi disabilitare VPC Flow Logs non spegne la detection di rete.

Amazon Inspector esegue vulnerability management continuo e automatico su EC2, container image in Amazon ECR e funzioni Lambda. Fa scansione delle software vulnerability (CVE) e, per EC2, network reachability. Si integra con Systems Manager (agente SSM) per l’inventario dei pacchetti su EC2. Se lo scenario parla di CVE, patch mancanti o CIS del sistema operativo, la risposta è Inspector, non GuardDuty.

Amazon Macie usa il machine learning per fare data discovery e classificare dati sensibili (PII, credenziali, dati finanziari) dentro Amazon S3. Serve quando lo scenario chiede “individuare bucket con dati personali” o “verificare dove risiedono dati sensibili”. Macie è specifico per S3: non ispeziona database o volumi EBS.

Amazon Detective non genera finding: consuma i finding di GuardDuty e i log per costruire grafici di relazione e supportare l’analisi della root cause. È lo strumento di investigation, non di detection.

Security Hub: aggregazione, ASFF e standard

AWS Security Hub è il cross-service aggregator. Normalizza tutti i finding nel formato ASFF (AWS Security Finding Format), così finding di GuardDuty, Inspector, Macie, IAM Access Analyzer e partner di terze parti diventano confrontabili. Valuta le risorse contro security standard predefiniti: AWS Foundational Security Best Practices (FSBP), CIS AWS Foundations Benchmark, PCI DSS e NIST. Ogni control produce un compliance status e Security Hub calcola un security score aggregato.

In ambiente multi-account, l’integrazione avviene via AWS Organizations: designi un delegated administrator (idealmente un account di security dedicato, non il management account) che abilita e gestisce il servizio per tutti i member account. Security Hub supporta la cross-Region aggregation: nomini una aggregation Region che raccoglie i finding dalle altre Region collegate, dandoti un pannello unico. Nota: GuardDuty, Inspector e Macie usano anch’essi il pattern del delegated administrator via Organizations, mantenendo la governance centralizzata senza operare dal management account.

Trappole tipiche d’esame

  • CVE su una AMI o pacchetti non patchati → soluzione: Amazon Inspector, non GuardDuty. GuardDuty rileva comportamenti sospetti, non vulnerabilità note del software.
  • Trovare dati PII/sensibili in S3 → soluzione: Amazon Macie. Inspector scansiona workload compute, non classifica il contenuto degli oggetti S3.
  • “Un unico pannello di finding cross-account e multi-Region” → soluzione: Security Hub con delegated administrator via Organizations e cross-Region aggregation; la normalizzazione ASFF rende confrontabili sorgenti eterogenee.
  • Abilitare la detection per tutta l’org senza usare il management account → soluzione: designa un delegated administrator nell’account di security. Operare dal management account è contro le best practice ed è un distrattore ricorrente.
  • “Ricostruire la timeline e la root cause di un finding GuardDuty” → soluzione: Amazon Detective per l’investigation; Security Hub aggrega e prioritizza ma non fornisce il graph analitico di Detective.
  • Disabilitare VPC Flow Logs per fermare gli alert di rete di GuardDuty → soluzione: non funziona. GuardDuty legge le sorgenti (VPC Flow Logs, DNS, CloudTrail) da un flusso indipendente; per fermarlo si sospende o disabilita GuardDuty stesso.