Image Builder イメージのセキュリティ検出結果の管理

Amazon Inspector でセキュリティスキャンを有効にすると、アカウント内のマシンイメージと実行中のインスタンスが継続的にスキャンされ、オペレーティングシステムとプログラミング言語の脆弱性が検出されます。有効にすると、セキュリティスキャンが自動的に実行され、Image Builder は、新しいイメージを作成するときに、テストインスタンスの検出結果のスナップショットを保存できます。Amazon Inspector は有料サービスです。

Amazon Inspector は、ソフトウェアまたはネットワーク設定の脆弱性を発見すると、次のアクションを実行します。

• 検出結果があったこと通知します。

• 検出結果の重要度を評価します。重要度評価では、検出結果の優先順位付けに役立つように脆弱性を分類します。評価には次の値が含まれます。

  • トリアージされていない

  • 情報

  • 低

  • 中程度

  • 高い

  • [非常事態]

• 検出結果に関する情報と、詳細情報が含まれる追加リソースへのリンクを提供します。

• 検出結果を生成した問題の解決に役立つ修正ガイダンスを提供します。

で Image Builder イメージのセキュリティスキャンを設定する AWS Management Console

アカウントで Amazon Inspector をアクティブ化した場合、Amazon Inspector は Image Builder が起動するEC2インスタンスを自動的にスキャンして、新しいイメージを構築してテストします。これらのインスタンスはビルドとテストのプロセス中は有効期間が短く、検出結果は通常、インスタンスがシャットダウンするとすぐに期限切れになります。新しいイメージの検出結果の調査と修正に役立つように、Image Builder では、ビルドプロセス中に Amazon Inspector がテストインスタンスについて特定した検出結果をオプションでスナップショットとして保存できます。

ステップ 1: アカウントの Amazon Inspector セキュリティスキャンを有効にする

Image Builder コンソールからアカウントの Amazon Inspector セキュリティスキャンを有効にするには、次の手順に従います。

1. で EC2 Image Builder コンソールを開きますhttps://console.aws.amazon.com/imagebuilder/。

2. ナビゲーションペインで、[セキュリティスキャン設定] を選択します。[セキュリティスキャン] ダイアログボックスが開きます。

   アカウントのスキャンステータスが、ダイアログボックスに表示されます。Amazon Inspector がアカウントで既に有効化されている場合、ステータスは [有効] と表示されます。

3. 説明のステップ 1 と 2 に従って Amazon Inspector のスキャンを有効にします。

   注記

   Amazon Inspector では料金が発生します。詳細については、「Amazon Inspector の料金」を参照してください。

パイプラインのスキャンを有効にしている場合、Image Builder は、新しいイメージを作成するときに、ビルドインスタンスに対する検出結果のスナップショットを取得します。これにより、Image Builder がビルドインスタンスを終了した後で、検出結果にアクセスできます。

ステップ 2: 脆弱性検出結果のスナップショットを保存するようにパイプラインを設定する

パイプラインの脆弱性検出結果スナップショットを設定するには、次の手順を実行します。

1. で EC2 Image Builder コンソールを開きますhttps://console.aws.amazon.com/imagebuilder/。

2. ナビゲーションペインから、[イメージパイプライン] を選択します。

3. パイプラインの詳細を指定するには、次のいずれかの方法を選択します。

   新規パイプラインを作成する

   1. [パイプライン] ページで、[イメージパイプラインの作成] をクリックします。パイプラインウィザードの [パイプラインの詳細を指定] ページが開きます。

   既存のパイプラインを更新する

   1. [イメージパイプライン] ページから、更新するパイプラインの [パイプライン名] リンクを選択します。パイプラインの詳細ページが開きます。

      注記

      更新するパイプラインの名前の横にあるチェックボックスを選択し、[詳細を表示] を選択することもできます。

   2. パイプライン詳細ページの [アクション] メニューから [パイプラインの編集] を選択します。「パイプラインの編集」ページが開きます。

4. パイプラインウィザードの [全般] セクションまたは [パイプラインの編集] ページで、[セキュリティスキャンを有効にする] チェックボックスを選択します。

   注記

   後でスナップショットをオフにする場合は、パイプラインを編集してチェックボックスをオフにできます。これによってアカウントの Amazon Inspector スキャンが無効になるわけではありません。Amazon Inspector のスキャンを無効にするには、Amazon Inspector ユーザーガイドの Amazon Inspector の無効化を参照してください。

で Image Builder イメージのセキュリティ検出結果を管理する AWS Management Console

[セキュリティ検出結果]リストページには、リソースに関する検出結果に関する概要情報と、適用可能な数種類のフィルタに基づくビューが表示されます。各ビューの上部には、ビューを変更するための以下のオプションが表示されます。

• [すべてのセキュリティ結果] — Image Builder コンソールのナビゲーションペインから [セキュリティ検出結果] ページを選択した場合のデフォルトビューです。

• [脆弱性別] — このビューには、アカウント内の検出結果のあるすべてのイメージリソースの概要リストが表示されます。[検出結果 ID] は、検出結果に関する詳細情報を確認できます。この情報は、ページの右側にあるパネルに表示されます。パネルには次の情報が含まれます。

  • 検出結果の詳細説明。

  • [検出結果の詳細] タブ。このタブには、検出結果の概要、影響を受けるパッケージ、修復アドバイスの概要、脆弱性の詳細、および関連する脆弱性が含まれます。[脆弱性 ID] は、National Vulnerability Database の詳細な脆弱性情報にリンクしています。

  • [スコアの内訳] タブ。このタブには、 CVSSと Amazon Inspector スコアside-by-side の比較が含まれており、該当する場合、Amazon Inspector がスコアを変更した場所を確認できます。

• [イメージパイプライン別] — このビューには、アカウント内の各イメージパイプラインの検出結果の数が表示されます。Image Builder では、重要度が中程度以上の結果の数と、すべての検出結果の合計が表示されます。リスト内のすべてのデータは次のようにリンクされています。

  • [イメージパイプライン名列] は、指定されたイメージパイプラインの詳細ページにリンクします。

  • 重要度列のリンクをクリックすると、関連するイメージパイプライン名と重要度レベルでフィルタリングされた [すべてのセキュリティ検出結果] ビューが開きます。

  検索条件を使用して、結果を絞り込むこともできます。

• [イメージ別] — このビューには、アカウント内の各イメージビルドの検出結果数が表示されます。Image Builder では、重要度が中程度以上の結果の数と、すべての検出結果の合計が表示されます。リスト内のすべてのデータは次のようにリンクされています。

  • [イメージ名] 列は、指定したイメージビルドのイメージ詳細ページにリンクします。詳細については、「イメージリソースの詳細を表示する」を参照してください。

  • 重要度列のリンクをクリックすると、関連するイメージビルド名と重要度レベルでフィルタリングされた [すべてのセキュリティ検出結果] ビューが開きます。

  検索条件を使用して、結果を絞り込むこともできます。

Image Builder では、デフォルトの [すべてのセキュリティ検出結果] ビューの「検出結果リスト」セクションに次の詳細が表示されます。

重要度

CVE 結果の重要度レベル。値は次のとおりです。

• トリアージされていない

• 情報

• 低

• 中程度

• 高い

• [非常事態]

検出結果 ID

ビルドインスタンスをスキャンしたときに Amazon Inspector がイメージに対して検出したCVE検出結果の一意の識別子。ID は [セキュリティ検出結果] > [脆弱性別] ページにリンクされています。

イメージ ARN

検出結果 ID 列で指定された検出結果を持つイメージの Amazon リソースネーム (ARN）。

パイプライン

イメージ列で指定されたイメージARNを構築したパイプライン。

説明

検出結果の簡単な説明。

Inspector スコア

Amazon Inspector がCVE検出結果に割り当てたスコア。

修正

検出結果を修正するための推奨アクション方針に関する詳細へのリンク。

[公開日]

この脆弱性がベンダーのデータベースに最初に追加された日付と時刻。