Escaneo automatizado de vulnerabilidades con Amazon Inspector - Evaluación continua de seguridad para EC2, Lambda y ECR
Escanea automáticamente instancias EC2, imágenes de contenedores ECR y funciones Lambda en busca de vulnerabilidades y priorízalas con puntuaciones de riesgo basadas en CVE. Aprende a lograr escaneo sin agente mediante integración con Systems Manager.
Descripción general de Inspector
Amazon Inspector es un servicio de evaluación de seguridad que escanea automáticamente instancias EC2, imágenes de contenedores ECR y funciones Lambda en busca de vulnerabilidades. Inspector v2 fue significativamente rediseñado respecto a la versión original, proporcionando escaneo continuo y automático sin necesidad de configurar evaluaciones manualmente. Cuando se habilita, Inspector descubre automáticamente todos los recursos elegibles en tu cuenta y comienza a escanearlos. Los nuevos recursos se escanean automáticamente cuando se crean, y los re-escaneos ocurren cuando se publican nuevos CVEs o se actualizan los paquetes.
Objetivos de escaneo y métodos de detección
El escaneo de instancias EC2 se ejecuta a través del agente de Systems Manager (SSM). Las instancias con el agente SSM instalado se incluyen automáticamente como objetivos de escaneo, detectando vulnerabilidades de paquetes del SO (Amazon Linux, Ubuntu, Windows, etc.) y vulnerabilidades de paquetes de lenguajes de programación (Python, Java, Node.js, etc.). El escaneo de imágenes ECR analiza las capas de la imagen de contenedor para detectar vulnerabilidades de paquetes del SO y dependencias de aplicaciones. El escaneo de Lambda analiza el código de la función y las dependencias empaquetadas. El escaneo sin agente (basado en snapshots EBS) está disponible para instancias sin el agente SSM. Para una comprensión más profunda de Inspector, consulta libros relacionados en Amazon.
Gestión de hallazgos e integraciones
Las vulnerabilidades detectadas se muestran en el dashboard de la consola de Inspector, mostrando puntuaciones de riesgo, recursos afectados y guía de remediación. Las reglas de supresión permiten ocultar vulnerabilidades aceptadas o falsos positivos. La integración con Security Hub agrega hallazgos de Inspector con los de otros servicios de seguridad. Las reglas de EventBridge pueden activar notificaciones o acciones automatizadas cuando se detectan hallazgos de alta severidad. El SBOM (Software Bill of Materials) exporta un inventario completo de todos los paquetes de software detectados en tus recursos, útil para auditorías de cumplimiento.
Precios de Inspector
Los precios de Inspector varían según el tipo de recurso escaneado. El escaneo de instancias EC2 cuesta aproximadamente $1,2528 por instancia al mes. El escaneo inicial de imágenes de contenedores ECR cuesta aproximadamente $0,09 por imagen, y los re-escaneos cuestan aproximadamente $0,01 por imagen. El escaneo de funciones Lambda cuesta aproximadamente $0,30 por función al mes. Para optimizar costos, usa reglas de supresión para reducir el ruido y enfoca la remediación en hallazgos de alta severidad.
Resumen
Amazon Inspector es un servicio de evaluación de seguridad que detecta automáticamente vulnerabilidades en EC2, ECR y Lambda y las prioriza con puntuaciones de riesgo basadas en contexto. Soporta tanto integración con agente SSM como escaneo sin agente, proporcionando cobertura flexible. La integración con Security Hub y EventBridge permite respuesta automatizada a vulnerabilidades. Habilítalo en todas las cuentas a través de Organizations para cobertura de seguridad organizacional completa.