Escaneo automatizado de vulnerabilidades con Amazon Inspector - Evaluación continua de seguridad para EC2, Lambda y ECR

Escanea automáticamente las vulnerabilidades de instancias EC2, imágenes de contenedores ECR y funciones Lambda, y las prioriza con puntuaciones de riesgo basadas en CVE. Explica cómo se logra también el escaneo sin agente mediante la integración con el agente de Systems Manager.

Unos 8 min de lecturaÚltima actualización: 2026-10-31

Descripción general de Inspector

Amazon Inspector es un servicio de evaluación de seguridad que escanea automáticamente las vulnerabilidades de instancias EC2, imágenes de contenedores ECR y funciones Lambda. Inspector v2 es una renovación de v1 y, al activarlo, detecta automáticamente los recursos objetivo y los escanea de forma continua. Realiza el cotejo con la base de datos CVE (Common Vulnerabilities and Exposures) y asigna una puntuación de riesgo (la puntuación de Inspector) a las vulnerabilidades detectadas. La puntuación de Inspector es una puntuación contextual propia que, además de la puntuación base de CVSS, tiene en cuenta la accesibilidad de red y la existencia de exploits, y permite una priorización basada en el riesgo real. Mientras que GuardDuty está especializado en la detección de amenazas en tiempo de ejecución, Inspector se centra en la detección previa de vulnerabilidades.

Objetivos de escaneo y métodos de detección

El escaneo de instancias EC2 se ejecuta a través del agente de Systems Manager (SSM). Las instancias que tienen instalado el agente de SSM pasan a ser objetivos de escaneo automáticamente, y se detectan las vulnerabilidades de los paquetes del sistema operativo (Amazon Linux, Ubuntu, Windows, etc.). También se ofrece el escaneo sin agente, que permite un escaneo basado en instantáneas de EBS sin el agente de SSM. El escaneo de imágenes de contenedores ECR se ejecuta al enviar la imagen y mediante reescaneos periódicos. Además de los paquetes del sistema operativo de la imagen base, también detecta vulnerabilidades en los paquetes de lenguajes de programación (npm, pip, Maven, etc.). El escaneo de funciones Lambda se ejecuta en el momento del despliegue y de forma periódica, y detecta vulnerabilidades en los paquetes de los que depende el código de la función.

Gestión de hallazgos e integraciones

Las vulnerabilidades detectadas se muestran en una lista en el panel de la consola de Inspector, que presenta la puntuación de riesgo, los recursos afectados y el método de corrección. Con las reglas de supresión, es posible ocultar las vulnerabilidades ya aceptadas y los falsos positivos, y centrarse en las vulnerabilidades que requieren atención. Mediante la integración con Security Hub, los hallazgos de Inspector se gestionan de forma integrada junto con los hallazgos de otros servicios de seguridad (GuardDuty, Macie, Config). Mediante la integración con EventBridge, es posible activar notificaciones de SNS o funciones Lambda cuando se detecta una vulnerabilidad Critical o High, y construir flujos de trabajo de corrección automática. Mediante la integración con Organizations, se gestiona de forma centralizada Inspector en todas las cuentas miembro desde una cuenta de administrador delegado y se visualiza el estado de las vulnerabilidades de toda la organización.

Precios de Inspector

El precio de Inspector varía según el tipo de recurso que se escanea. El escaneo de instancias EC2 se factura en función del número de instancias objetivo. Las imágenes de contenedores de ECR se facturan por separado por el escaneo inicial y por los reescaneos. El escaneo de funciones Lambda se factura en función del número de funciones objetivo. Como prueba gratuita, se pueden utilizar todas las funciones de forma gratuita durante 15 días desde la activación. Si se activa de forma conjunta en todas las cuentas con Organizations, se estima de antemano el coste en función del número de cuentas × el número de recursos.

Funcionamiento del escaneo continuo

La característica de Inspector es que evalúa las vulnerabilidades de forma continua y no una sola vez. Cuando se instala un paquete nuevo o se publica información sobre una vulnerabilidad nueva, lo detecta y vuelve a escanear automáticamente. Esto mantiene los resultados de la evaluación actualizados y facilita darse cuenta de los riesgos recién descubiertos. Identifica la información de configuración del software contenido en las imágenes de contenedores y en las instancias, y la contrasta con las vulnerabilidades conocidas. A diferencia de una operación en la que se ejecutan escaneos manualmente de forma periódica, la evaluación se realiza automáticamente en el momento en que se produce un cambio, por lo que se pueden reducir los retrasos en la respuesta. La visibilidad continua se convierte en la base de las operaciones de seguridad.

Priorización de riesgos

Como las vulnerabilidades se descubren una tras otra, no es realista atenderlas todas con la misma prioridad. Inspector muestra la prioridad de los riesgos con una puntuación que, además de la gravedad de la vulnerabilidad, tiene en cuenta el contexto, como si realmente es posible explotarla o si el activo es accesible a través de la red. Esto permite atender los problemas que pueden ser atacados en la realidad antes que los problemas que tienen una gravedad teórica alta pero que en la práctica no son accesibles. Puede concentrar los limitados recursos de respuesta en los elementos de alto riesgo. Priorizar teniendo en cuenta el contexto facilita decidir el orden de respuesta.

Corrección y operaciones

Para las vulnerabilidades detectadas se muestra una guía de corrección sobre cómo tratarlas, lo que facilita establecer el plan de respuesta. Muchas se pueden resolver actualizando paquetes, por lo que se corrigen en coordinación con las operaciones de aplicación de parches. Los hallazgos que no se pueden atender de inmediato, o que se considera que no tienen impacto, se pueden excluir temporalmente con reglas de supresión, de modo que es posible centrarse en los que requieren atención. No obstante, se revisan periódicamente para no dejar abandonados los elementos suprimidos. Incorporar a los procesos de operación el flujo desde la detección hasta la corrección y mantener un ciclo de evaluación y respuesta rápidas cuando se descubren nuevas vulnerabilidades conduce a mantener el nivel de seguridad.

Despliegue en la organización y gobernanza

En las organizaciones que operan varias cuentas, la gestión de vulnerabilidades se centraliza. Inspector cuenta con un mecanismo de gestión centralizada para toda la organización, y desde una cuenta de administración se puede conocer el estado de los escaneos y los hallazgos de todas las cuentas. Esto permite comprobar de forma transversal en qué cuentas quedan riesgos graves y decidir las prioridades de respuesta a nivel de organización. Si se agregan los hallazgos en otros servicios de seguridad, se pueden gestionar de forma integrada junto con diversa información de seguridad. En lugar de responder por separado en cada cuenta, se puede construir un sistema de gestión de vulnerabilidades bien gobernado en toda la organización.

Resumen

Amazon Inspector es un servicio de evaluación de seguridad que detecta automáticamente las vulnerabilidades de EC2, ECR y Lambda y las prioriza con puntuaciones de riesgo basadas en el contexto. Es compatible tanto con la integración con el agente de SSM como con el escaneo sin agente, y mediante la integración con Security Hub y EventBridge automatiza el flujo de trabajo desde la detección hasta la corrección.

Referencias (recursos oficiales de AWS)

Las fuentes primarias de esta página son el sitio web y la documentación oficiales de AWS. Consulta las páginas oficiales siguientes para conocer las especificaciones y los precios más recientes.

Si esta página y la documentación oficial difieren, prevalece la documentación oficial.

Detección de permisos excesivos con IAM Access Analyzer - Análisis de acceso externo y permisos no utilizadosDetecte los permisos no utilizados de los roles IAM a partir de CloudTrail y genere automáticamente políticas de mínimo privilegio. Explicamos desde la detección de acceso externo hasta la incorporación de verificaciones de políticas personalizadas en CI/CD.Gestión automatizada de certificados SSL/TLS con AWS Certificate Manager - De la emisión a la rotaciónExplicamos la emisión gratuita de certificados públicos con ACM, la validación DNS, la renovación automática y el despliegue en ALB / CloudFront.Obtención de informes de cumplimiento con AWS Artifact - Respuesta a auditorías y gestión de contratosPresenta cómo obtener informes de auditoría SOC, PCI DSS e ISO bajo demanda, y aplicar BAA y GDPR DPA de forma masiva a toda la organización con Organizations.Automatización de auditorías - Recopilación continua de evidencias de cumplimiento con AWS Audit ManagerExplica la recopilación automática de evidencias de auditoría con AWS Audit Manager. Presenta la evaluación automática basada en frameworks (SOC 2, PCI DSS, GDPR, etc.), gestión centralizada de evidencias y generación de informes de auditoría.La estructura oculta de los 12 dígitos del ID de cuenta de AWS - Por qué son 12 dígitos y qué se puede inferirUna exploración curiosa de por qué los ID de cuenta de AWS son números de 12 dígitos, la intención de diseño incorporada en la estructura ARN, y las consideraciones de seguridad sobre lo que se puede inferir a partir de un ID de cuenta.Por qué el usuario root de una cuenta AWS es peligroso - Filosofía de diseño de separación de privilegios y práctica de selladoExplicamos por qué el usuario root de AWS tiene privilegios que IAM no puede restringir, la lista de operaciones que solo el usuario root puede realizar, cómo configurar MFA y la estrategia de sellado mediante la gestión de acceso root de Organizations.Gestión de certificados y HTTPS - Operaciones automatizadas de certificados TLS con AWS Certificate ManagerAprenda sobre la emisión de certificados TLS/SSL, renovación automática y despliegue usando AWS Certificate Manager (ACM). Cubre la integración con CloudFront, ALB y API Gateway, validación DNS y uso de Private CA.Gestión dedicada de claves con AWS CloudHSM - Cifrado compatible con FIPS 140-3 Level 3Logre gestión de claves compatible con FIPS 140-3 Level 3 con instancias HSM dedicadas. Aprenda cuándo elegir CloudHSM sobre KMS y cómo integrar ambos mediante almacenes de claves personalizados de KMS.