Amazon Inspector 自动漏洞扫描 - EC2、Lambda、ECR 的持续安全评估
自动扫描 EC2 实例、ECR 容器镜像和 Lambda 函数的漏洞，并通过基于 CVE 的风险评分确定优先级。解析通过与 Systems Manager 代理集成也实现无代理扫描的方法。
Inspector 概述
Amazon Inspector 是自动扫描 EC2 实例、ECR 容器镜像和 Lambda 函数漏洞的安全评估服务。Inspector v2 在 v1 的基础上进行了全面更新，启用后会自动发现目标资源并持续扫描。它与 CVE（Common Vulnerabilities and Exposures）数据库进行比对，为检测到的漏洞赋予风险评分（Inspector 评分）。Inspector 评分是在 CVSS 基础评分之外，还考虑了网络可达性和是否存在漏洞利用程序的独有的上下文评分，可以基于实际风险确定优先级。GuardDuty 专注于运行时的威胁检测，而 Inspector 则侧重于事先检测漏洞。
扫描范围与检测方法
EC2 实例的扫描通过 Systems Manager（SSM）代理执行。安装了 SSM 代理的实例会自动被纳入扫描范围，并检测 OS 软件包（Amazon Linux、Ubuntu、Windows 等）的漏洞。还提供无代理扫描，可以在没有 SSM 代理的情况下进行基于 EBS 快照的扫描。ECR 容器镜像的扫描在推送镜像时以及定期重新扫描时执行。除了基础镜像的 OS 软件包之外，还会检测编程语言软件包（npm、pip、Maven 等）的漏洞。Lambda 函数的扫描在部署时和定期执行，检测函数代码所依赖的软件包的漏洞。
检测结果的管理与集成
检测到的漏洞会在 Inspector 控制台的仪表板上以列表显示，并给出风险评分、受影响的资源和修复方法。通过抑制规则，可以隐藏已接受的漏洞和误报，专注于需要处理的漏洞。通过与 Security Hub 集成，将 Inspector 的检测结果与其他安全服务（GuardDuty、Macie、Config）的检测结果进行统一管理。通过与 EventBridge 集成，可以在检测到 Critical 或 High 级别的漏洞时触发 SNS 通知或 Lambda 函数，构建自动修复工作流。通过与 Organizations 集成，从委托管理员账户集中管理所有成员账户的 Inspector，并将整个组织的漏洞状况可视化。
Inspector 费用
Inspector 的费用因扫描目标的资源类型而异。EC2 实例的扫描按目标实例的数量计费。ECR 的容器镜像对首次扫描和重新扫描分别计费。Lambda 函数的扫描按目标函数的数量计费。作为免费试用，启用后 15 天内可以免费使用全部功能。通过 Organizations 对所有账户统一启用时，事先估算与账户数 × 资源数相应的成本。
持续扫描的机制
Inspector 的特点在于不是一次性评估，而是持续评估漏洞。当安装了新的软件包或公开了新的漏洞信息时，它会检测到并自动重新扫描。这样使评估结果保持最新状态，新发现的风险也变得容易察觉。它掌握容器镜像和实例中所含软件的组成信息，并与已知漏洞进行比对。与手动定期执行扫描的运维方式不同，它会在发生变化时自动进行评估，因此可以减少处理的延迟。持续的可见性是安全运维的基础。
风险的优先级排序
漏洞会接连不断地被发现，因此以相同的优先级处理所有漏洞并不现实。Inspector 在漏洞严重程度之外，还结合是否实际可被利用、该资产在网络上是否可达等上下文，通过评分显示风险的优先级。这样，相比理论上严重程度高但实际上无法到达的问题，可以优先处理现实中可能遭受攻击的问题。可以将有限的处理资源集中在危险程度高的问题上。结合上下文确定优先级后，处理的顺序会变得容易决定。
修复与运维
对于检测到的漏洞，会给出应如何处理的修复指导，因此容易制定处理方针。其中多数可以通过更新软件包解决，因此与补丁应用的运维联动进行修复。对于无法立即处理、或判断为没有影响的检测项，可以通过抑制规则暂时排除，专注于需要处理的项。不过，为了不让被抑制的项被搁置，会定期进行复查。将从检测到修复的流程纳入运维流程，并运转在发现新漏洞时迅速评估和处理的循环，会带来安全水平的维持。
组织范围的部署与治理
在运营多个账户的组织中，对漏洞管理进行集中化。Inspector 具备在整个组织内集中管理的机制，可以从管理用账户掌握所有账户的扫描状况和检测结果。这样可以横向确认哪些账户仍存在重大风险，并在组织层面判断处理的优先级。如果将检测结果汇总到其他安全服务，可以与各种安全信息一起统一管理。可以构建在整个组织范围内统一管控的漏洞管理体系，而不是在各账户分别处理。
总结
Amazon Inspector 是自动检测 EC2、ECR、Lambda 的漏洞，并通过基于上下文的风险评分确定优先级的安全评估服务。它同时支持 SSM 代理集成和无代理扫描，并通过与 Security Hub、EventBridge 的联动，将从检测到修复的工作流自动化。
参考资料（AWS 官方）
本页的第一手信息来源是 AWS 官方网站及官方文档。最新的规格与价格请以下列官方页面为准。
如本页内容与官方文档不一致，请以官方文档为准。