Amazon Inspector
Servicio de evaluación de seguridad que escanea automática y continuamente vulnerabilidades en instancias EC2, funciones Lambda e imágenes de contenedor
Descripción general
Amazon Inspector es un servicio de gestión de vulnerabilidades que escanea automáticamente cargas de trabajo AWS en busca de vulnerabilidades de software y exposición no intencionada de red. Cubre instancias EC2, funciones Lambda e imágenes de contenedor en ECR, proporcionando hallazgos priorizados con puntuación de riesgo contextualizada.
Tres objetivos de escaneo (EC2, Lambda, ECR) y mecanismo de detección
Inspector escanea tres tipos de recursos. Para EC2, utiliza el agente SSM para inventariar paquetes instalados y compararlos contra bases de datos de vulnerabilidades (CVE). Para imágenes de contenedor en ECR, escanea las capas de la imagen al push y re-escanea cuando se publican nuevas CVEs. Para Lambda, analiza el código de la función y sus dependencias empaquetadas. Los escaneos son continuos: cuando se publica una nueva CVE, Inspector re-evalúa automáticamente todos los recursos afectados sin necesidad de programar escaneos manuales. Cada hallazgo incluye la CVE, severidad CVSS, recurso afectado y recomendación de remediación.
Integración en pipelines CI/CD y triaje de hallazgos
Inspector se integra en pipelines CI/CD para detectar vulnerabilidades antes del despliegue. En el pipeline de build, se escanea la imagen de contenedor en ECR y se bloquea el despliegue si se detectan vulnerabilidades críticas. La API de Inspector permite consultar hallazgos programáticamente para implementar gates de calidad. Para el triaje, Inspector proporciona un Inspector Score que contextualiza la severidad CVSS con factores como exposición de red y explotabilidad conocida. Los hallazgos se pueden suprimir (con justificación) para falsos positivos o riesgos aceptados, evitando ruido en reportes futuros.
Integración con Security Hub y gestión de vulnerabilidades organizacional con Organizations
Inspector envía hallazgos a Security Hub para visibilidad centralizada junto con hallazgos de otros servicios de seguridad. En entornos Organizations, Inspector se habilita centralmente desde una cuenta de administrador delegado, cubriendo automáticamente todas las cuentas miembro. Los hallazgos se agregan centralmente para reporting y métricas organizacionales. Las métricas de cobertura muestran qué porcentaje de recursos están siendo escaneados, identificando gaps. La integración con EventBridge permite automatizar respuestas como crear tickets en Jira para vulnerabilidades críticas o notificar a equipos de desarrollo específicos.