この記事について

この記事は、Amazon Inspectorの利用を検討する上で調べた内容のまとめです。

Amazon Inspector とは？

Amazon Inspectorは、以下のAWSリソースを自動的に検出し、既知のソフトウェアの脆弱性や意図しないネットワークへの露出がないかスキャンするサービスです。

継続的なスキャンにより、潜在的なセキュリティリスクを早期に発見し、対策を講じることが可能になります。
EC2, ECR, Lambdaの脆弱性対策について検討している人には、一考の価値があるサービスかと思います。

Amazon Inspectorを新規に有効化した場合、デフォルトでハイブリッドスキャンモードが有効になります。

2024年4月22日のアップデートにより、エージェントレスでの脆弱性評価が可能となりました。

エージェントベースのスキャンと比較して、スキャン頻度が異なります。

脆弱性データベース検索: CVE（共通脆弱性識別子）を用いてAmazon Inspectorの脆弱性データベースを検索可能
検出結果への対応の自動化: Amazon EventBridgeと連携し、検出結果に応じて自動的にタスクを実行可能
複数アカウントの一元管理: AWS Organizationsを利用している場合、単一のアカウントから複数アカウントのAmazon Inspector環境を一元管理可能
豊富なスキャン対象: Amazon EC2インスタンス、Amazon ECRコンテナイメージ、AWS Lambda関数など、多様なリソースをスキャン可能
CI/CDツールとの統合: Jenkins、TeamCity、GitHub Actions、CodeCatalystなどのCI/CDツールと統合可能

Amazon Inspectorは従量課金制です。料金は、スキャン対象のサービスや機能によって異なります。

EC2については、エージェントレススキャンのほうが若干料金が高くなるようなので、少しでも安くするなら、SSMの設定を頑張ってエージェントスキャンにするほうが良さそうです。

Amazon Inspectorを初めて利用するユーザーは、15日間の無料トライアルが利用できます。ただし、CISベンチマーク評価は無料トライアルに含まれません。
詳細な料金については、AWSの公式ウェブサイトの料金表を参照してください。

Amazon Inspectorがスキャンできるリソースは、以下に限定されています。

特定のリソースがスキャン対象となるかどうかは、以下の要因によって異なります。

特定のリソースをスキャン対象から除外するには、リソースに特定のタグを付けます。

Amazon EC2 インスタンス: キーが InspectorEc2Exclusionのタグを付ける。値は何でもOK.
AWS Lambda 関数のLambda 標準スキャン: キーが InspectorExclusion、値が LambdaStandardScanning のタグを付ける
AWS Lambda 関数のLambda コードスキャン: キーがInspectorCodeExclusion、値がLambdaCodeScanningのタグを付ける

EC2、Lambdaの脆弱性対策ができるツールを探していたのですが、セキュリティ対策として有効なサービスだと思いました。エージェントレスでの脆弱性評価のおかげで、導入しやすそうです。

本記事では、ソースから読み取れる範囲で情報をまとめましたが、料金体系や技術的な詳細情報については、公式ドキュメントを参照することをお勧めします。
間違いなどありましたらお知らせください。