【AWS】什么是Amazon Inspector
Amazon Inspector 是一项由 Amazon Web Services (AWS) 提供的完全托管的漏洞管理服务。它能够自动发现您的工作负载并持续对其进行扫描，以查找软件漏洞和意外的网络暴露。
您可以将 Amazon Inspector 想象成一个**“智能安全审计员”**，它在您的 AWS 环境中持续运行，主动识别潜在的安全风险，并提供详细的发现结果和修复建议，帮助您提高整体安全态势。
Amazon Inspector 的核心特点和优势
Amazon Inspector 的设计目标是简化漏洞管理流程，使其自动化、可扩展，并提供有针对性的安全洞察。
自动化发现与持续扫描：
自动发现： Inspector 能够自动发现您的 AWS 工作负载，包括 Amazon EC2 实例、AWS Lambda 函数、Amazon ECR (Elastic Container Registry) 中的容器镜像，以及持续集成/持续交付 (CI/CD) 工具中的资源。
持续扫描： 一旦启用，Inspector 会持续扫描这些资源。这意味着您无需手动安排或配置评估扫描。当新的 CVE（常见漏洞和暴露）发布或工作负载发生变化（例如，EC2 实例中安装了新软件）时，它会自动重新扫描受影响的资源。
代理与无代理扫描： 对于 EC2 实例，Inspector 支持基于 AWS Systems Manager (SSM) Agent 的扫描，也支持无代理扫描（通过 EBS 快照分析），这减少了对实例性能的影响。
全面的漏洞检测：
软件漏洞： 检测操作系统（OS）软件包和编程语言（如 Python、Java、Ruby）软件包中的已知软件漏洞。
意外网络暴露： 识别可能导致资源未经授权访问的网络配置问题，例如开放到互联网的端口。
恶意软件防护： 扩展到扫描连接到 EC2 实例的 EBS 卷以及上传到 Amazon S3 存储桶中的恶意文件。
数据库和容器运行时保护： 检测 Amazon RDS 数据库（从 Aurora 开始）中的威胁，以及 Amazon EKS/ECS 集群的运行时活动中的容器级威胁。
智能风险评分与优先级排序：
Inspector 通过将最新的 CVE 信息与环境因素（如网络可访问性、可利用性信息）关联起来，计算每个发现结果的情境化风险评分。
这有助于您确定最关键漏洞的优先级，从而将修复工作集中在对环境影响最大的问题上，缩短平均修复时间 (MTTR)。
集中管理与多账户支持：
委派管理员 (Delegated Administrator, DA) 账户： 如果您使用 AWS Organizations，可以设置一个委派管理员账户来集中管理、配置和查看组织中所有成员账户的 Inspector 发现结果。这大大简化了多账户环境下的安全管理。
统一控制台： 所有发现结果都会汇总在 Amazon Inspector 控制台中，提供整个环境中漏洞的总体视图。
与其他 AWS 服务集成：
Amazon EventBridge： 将新发现、发现状态变更等事件通知发送到 EventBridge，从而触发自动化响应（例如，启动 Lambda 函数进行自动修复）。
Amazon Security Hub： 将 Inspector 的发现结果自动发送到 Security Hub，与其他安全服务的结果一起进行聚合和管理。
AWS CloudTrail： 用于记录 Inspector 的 API 调用。
Amazon ECR： 容器镜像中发现的漏洞也会直接发送到 ECR 控制台，方便资源所有者查看和修复。
合规性支持：
通过持续的漏洞扫描，Inspector 可以帮助您满足 NIST CSF、PCI DSS 等行业标准和法规的合规性要求。
无代理扫描（针对 EC2 实例）：
最新版本的 Inspector 提供了无代理扫描功能，通过对 EBS 卷的快照进行分析来检测漏洞，而无需在 EC2 实例上安装或管理 SSM Agent，也不消耗实例的 CPU 或内存资源。
Amazon Inspector 的工作原理
启用 Inspector： 在 AWS 管理控制台中，您只需点击几下即可为您的账户或整个组织启用 Amazon Inspector。
自动发现： 启用后，Inspector 会自动发现您账户中符合条件的 EC2 实例、Lambda 函数和 ECR 容器镜像。
持续扫描： Inspector 会根据其内置的威胁情报源、CVE 数据库和机器学习模型，持续对这些发现的资源进行扫描。
对于 EC2 实例，它可以使用 SSM Agent 收集软件清单，或通过 EBS 快照进行无代理扫描。
对于容器镜像，它会扫描镜像层中的软件包漏洞。
对于 Lambda 函数，它会扫描函数代码和依赖项中的漏洞。
生成发现结果： 当检测到软件漏洞、意外网络暴露或恶意活动时，Inspector 会生成详细的安全发现结果 (Findings)。每个发现结果都包含漏洞的描述、受影响的资源、严重性级别和修复建议。
风险评分与优先级： Inspector 会根据漏洞的严重性、网络可访问性、可利用性以及其他环境因素，为每个发现结果计算一个情境化的风险评分，帮助您确定修复的优先级。
通知与集成： 发现结果会显示在 Inspector 控制面板中，并可以推送到 Amazon Security Hub 和 Amazon EventBridge，从而触发自动化工作流程或发送通知。
自动关闭： 如果您适当地修复了问题，Inspector 会自动检测到并关闭相关的发现结果。
Amazon Inspector 的典型用例
自动化漏洞管理： 持续扫描您的计算工作负载，自动发现并管理软件漏洞。
安全左移 (Shift Left Security)： 在开发周期的早期（例如在 CI/CD 管道中）嵌入漏洞扫描，以便在问题进入生产环境之前发现并修复。
合规性审计： 帮助满足各种行业和法规的合规性要求，通过自动化的漏洞评估提供审计证据。
确定修复优先级： 利用风险评分，将安全团队的精力集中在最关键、影响最大的漏洞上。
运行时威胁检测： 监控 EC2 实例和容器的运行时活动，检测异常行为和潜在的恶意活动。
S3 存储桶和 RDS 数据库安全： 扩展保护范围到数据存储层，检测恶意文件和数据库访问异常。
总结来说，Amazon Inspector 是一项强大的自动化漏洞管理服务，它通过持续、智能的扫描，帮助您主动识别并解决 AWS 环境中的安全风险，从而提升安全防御能力，并简化安全运营。
过去考试题
ある企業がAWSでホストされているアプリケーションのセキュリティ評価を自動化しようとしています。この企業は、アプリケーションが実行されているEC2インスタンス上の脆弱性や不適切な設定を定期的にスキャンし、セキュリティベストプラクティスに基づいた評価結果を受け取りたいと考えています。さらに、これらの評価結果を基に、対応策を迅速に導入してセキュリティポスチャを強化したいと考えています。この要件を満たすために最も適したAWSサービスは次のうちどれでしょうか？
- Amazon Inspector
- AWS Shield
- AWS WAF
- AWS IAM
Amazon Inspectorは、AWSで実行されているEC2インスタンスの包括的なセキュリティ評価を自動化するためのサービスです。問題文の要件に合致しており、脆弱性や構成の問題を特定し、セキュリティベストプラクティスに基づいた詳細な評価結果を提供します。さらに、発見された問題に対する修正ガイダンスも提供します。
B: AWS ShieldはDDoS攻撃からのアプリケーション保護に特化したサービスであり、本要件とは合致しません。
C: AWS WAFはWebアプリケーションファイアウォールで、不正な活動からWebアプリケーションを保護しますが、包括的なセキュリティ評価は行いません。
D: AWS IAMはアクセス権限の管理サービスで、セキュリティ評価や脆弱性スキャンは行いません。
过去考试题
ある企業は、Amazon EC2インスタンスへの意図しないネットワークアクセスを特定する自動セキュリティ評価レポートを必要としています。レポートはまた、これらのインスタンス上のオペレーティングシステムの脆弱性を特定する必要があります。この要件を満たすために、会社はどのAWSサービスまたは機能を使用する必要がありますか？
- Amazon Inspector
- AWS Trusted Advisor
- AWS Config
- Amazon GuardDuty
Amazon Inspectorは、Amazon EC2インスタンスのセキュリティ評価を自動化し、インスタンスへの意図しないネットワークアクセスや、オペレーティングシステムのセキュリティ脆弱性を特定するAWSのセキュリティサービスです。したがって、この要件を満たすためには、Amazon Inspectorを使用する必要があります。
B. AWS Trusted Advisorは、AWSリソースの利用状況やサービスの制限に関する推奨事項を提供するサービスですが、インスタンスのセキュリティ評価や脆弱性の特定は行いません。
C. AWS Configは、AWSリソースの構成変更を記録および監査するためのサービスですが、インスタンスのセキュリティ評価や脆弱性の特定は行いません。
D. Amazon GuardDutyは、アカウントのログデータを継続的に監視し、不審なアクティビティやマルウェアをリアルタイムに検出するサービスですが、インスタンスのセキュリティ評価や脆弱性の特定は行いません。