Amazon Inspector
EC2 インスタンス、コンテナイメージ、Lambda 関数の脆弱性を自動スキャンするサービス
何ができるか
Amazon Inspector は、EC2 インスタンス、ECR コンテナイメージ、Lambda 関数のソフトウェア脆弱性とネットワーク露出を自動的にスキャンするサービスです。CVE データベースに基づいて脆弱性を検出し、重要度スコアとともに修復ガイダンスを提供します。
どのような場面で使うか
EC2 インスタンスの OS パッケージの脆弱性スキャン、コンテナイメージのデプロイ前セキュリティチェック、Lambda 関数の依存ライブラリの脆弱性検出、コンプライアンス要件の脆弱性管理に利用されます。 この分野について体系的に学びたい方は、関連書籍 (Amazon) も参考になります。
身近な例え
建物の定期安全点検に例えられます。専門の検査員 (Inspector) が建物 (インスタンス) の構造 (ソフトウェア) を点検し、ひび割れ (脆弱性) を発見して修繕方法 (修復ガイダンス) を報告します。
Inspector とは
Amazon Inspector は、ワークロードの脆弱性を継続的にスキャンするサービスです。有効化するだけで、対象リソースが自動的に検出されてスキャンが開始されます。新しい CVE が公開されると自動的に再スキャンが実行され、常に最新の脆弱性情報に基づいた評価が行われます。
スキャン対象と検出結果
Inspector は EC2 インスタンスの OS パッケージ、ECR コンテナイメージのパッケージ、Lambda 関数の依存ライブラリをスキャンします。検出結果には CVE ID、重要度スコア (Inspector スコア)、影響を受けるパッケージ、修復バージョンが含まれます。Security Hub に検出結果を集約し、一元管理できます。
はじめかた
Inspector コンソールで「Inspector の有効化」をクリックするだけで開始できます。EC2、ECR、Lambda のスキャンを個別に有効化できます。15 日間の無料トライアルが提供されます。Organizations と統合すれば、全アカウントで一括有効化が可能です。
注意点
- EC2 インスタンスのスキャンには SSM Agent がインストールされている必要がある
- スキャン対象のインスタンス数とコンテナイメージ数に応じた月額課金。15 日間の無料トライアルあり
さらに詳しく知りたい方は、関連書籍 (Amazon) で理解を深められます。
