Amazon Inspector とは - Amazon Inspector

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon Inspector とは

Amazon Inspector は、ソフトウェアの脆弱性や意図しないネットワークへの露出について AWS ワークロードを継続的にスキャンする脆弱性管理サービスです。Amazon Inspector は、実行中の Amazon EC2 インスタンス、Amazon Elastic Container Registry (Amazon ECR) のコンテナイメージ、および既知のソフトウェアの脆弱性や意図しないネットワークへの露出について AWS Lambda 関数を自動的に検出してスキャンします。

Amazon Inspector は、ソフトウェアの脆弱性やネットワーク設定の問題を発見すると、検出結果を作成します。検出結果は脆弱性を説明し、影響を受けるリソースを特定し、脆弱性の重要度を評価し、修正ガイダンスを提供します。Amazon Inspector コンソールを使用して検出結果を分析することも、他の AWS のサービスを使用して検出結果を表示し、処理することもできます。詳細については、「Amazon Inspector の検出結果について」を参照してください。

Amazon Inspector の特徴

複数の Amazon Inspector アカウントを一元管理

AWS 環境に複数のアカウントがある場合は、 AWS Organizations を使用して 1 つのアカウントで環境を一元管理できます。この方法を使用することで、Amazon Inspector の委任された管理者アカウントとしてアカウントを指定できます。

Amazon Inspector は、ワンクリックで組織全体にアクティブ化できます。さらに、今後新たなメンバーが組織に入るたびに、自動的にサービスをアクティブ化することもできます。Amazon Inspector の委任された管理者アカウントは、組織のメンバーの検出結果データと特定の設定を管理できます。これには、すべてのメンバーアカウントの集約された結果の詳細の表示、メンバーアカウントのスキャンのアクティブ化または非アクティブ化、 AWS 組織内のスキャンされたリソースの確認が含まれます。

環境を継続的にスキャンして、脆弱性やネットワークの露出がないかを確認します。

Amazon Inspector を使用すれば、評価スキャンを手動でスケジュールまたは設定する必要はありません。Amazon Inspector は、対象となるリソースを自動的に検出し、スキャンを開始します。Amazon Inspector は、EC2 インスタンスへの新しいパッケージのインストール、パッチのインストール、リソースに影響を与える新しい共通脆弱性識別子 (CVE) が発行された場合など、新しい脆弱性をもたらす可能性のある変更に対応してリソースを自動的に再スキャンすることで、リソースのライフサイクル全体を通じて引き続き環境を評価します。従来のセキュリティスキャンソフトウェアとは異なり、Amazon Inspector はお客様のフリートのパフォーマンスへの影響を最小限に抑えます。

脆弱性またはオープンネットワークパスが特定されると、Amazon Inspector は調査可能な検出結果を生成します。検出結果には、脆弱性、影響を受けるリソース、および修復に関する推奨事項に関する包括的な詳細が含まれます。検出結果を適切に修復すると、Amazon Inspector は自動的に修正を検出し、検出結果を終了します。

Amazon Inspector のリスクスコアを使用して脆弱性を正確に評価

Amazon Inspector はスキャンを通じて環境に関する情報を収集し、その環境に合わせて特別に調整された重要度スコアを提供します。Amazon Inspector は、脆弱性の全国脆弱性データベース (NVD) の基本スコアを構成するセキュリティメトリクスを調べ、コンピューティング環境に応じて調整します。たとえば、脆弱性がネットワーク上で悪用可能であるが、インスタンスからインターネットへのオープンネットワークパスが利用できない場合、サービスは Amazon EC2 インスタンスの検出結果の Amazon Inspector スコアを下げる可能性があります。このスコアは CVSS 形式で、NVD が提供する共通脆弱性スコアリングシステム (CVSS) の基本スコアを修正したものです。

Amazon Inspector ダッシュボードを使用して影響の大きい検出結果を特定する

Amazon Inspector ダッシュボードには、環境全体から得られた検出結果の概要が表示されます。ダッシュボードから、検出結果の詳細にアクセスできます。ダッシュボードには、環境内のスキャン範囲、最も緊急の検出結果、および最も多くの検出結果が得られたリソースに関する効率的な情報が表示されます。Amazon Inspector ダッシュボードのリスクベースの修復パネルには、最も多くのインスタンスとイメージに影響する検出結果が表示されます。このパネルでは、環境に最も大きな影響を与える検出結果の特定、検出結果の詳細確認、および推奨される解決策の確認がより容易になります。

カスタマイズ可能なビューを使用して検出結果を管理

ダッシュボードに加えて、Amazon Inspector コンソールには検出結果ビューがあります。このページでは、環境に関する検出結果をリスト化し、個別の検出結果の詳細を提供します。検出結果は、カテゴリまたは脆弱性タイプ別にグループ化して表示できます。各ビューでは、フィルターを使用して結果をさらにカスタマイズできます。フィルターを使用して、不要な検出結果をビューから隠す非表示ルールを作成することもできます。

フィルターと抑制ルールを使用して、すべての検出結果またはカスタマイズされた結果の選択を表示する結果レポートを生成できます。レポートは CSV 形式または JSON 形式で生成できます。

他のサービスおよびシステムを用いた検出結果のモニタリングと処理

他の サービスやシステムとの統合をサポートするために、Amazon Inspector は検出結果を検出結果イベントとして Amazon に発行します EventBridge。 EventBridge は、検出結果を AWS Lambda 関数や Amazon Simple Notification Service (Amazon SNS) トピックなどのターゲットにルーティングできるサーバーレスイベントバスサービスです。を使用すると EventBridge、既存のセキュリティおよびコンプライアンスワークフローの一部として、結果をほぼリアルタイムでモニタリングおよび処理できます。

AWS Security Hub をアクティブ化すると、Amazon Inspector は検出結果を Security Hub にも公開します。Security Hub は、 AWS 環境全体のセキュリティ体制を包括的に把握し、セキュリティ業界標準とベストプラクティスに照らして環境をチェックするのに役立つサービスです。Security Hub を使用すると、 AWS内の組織のセキュリティ体制の広範な分析の一部として、検出結果をより簡単にモニタリングおよび処理できます。

Amazon Inspector へのアクセス

Amazon Inspector はほとんどの で使用できます AWS リージョン。Amazon Inspector が現在利用可能な リージョンの一覧については、Amazon Web Services 全般リファレンス の「Amazon Inspector のエンドポイントとクォータ」を参照してください。 AWS リージョンの詳細については、「Amazon Web Services General Reference」の「Managing AWS リージョン」を参照してください。各リージョンで、次のいずれかの方法で Amazon Inspector を使用できます。

AWS マネジメントコンソール

AWS Management Console は、 リソースの作成と管理 AWS に使用できるブラウザベースのインターフェイスです。そのコンソールの一部として、Amazon Inspector コンソールは Amazon Inspector アカウントとリソースへのアクセスを提供します。Amazon Inspector タスクは、Amazon Inspector コンソールから実行できます。

AWS コマンドラインツール

AWS コマンドラインツールを使用すると、システムのコマンドラインでコマンドを発行して Amazon Inspector タスクを実行できます。コマンドラインを使用すると、コンソールを使用するよりも高速で便利になります。コマンドラインツールは、タスクを実行するスクリプトを作成する場合にも便利です。

AWS には、 AWS Command Line Interface (AWS CLI) と の 2 セットのコマンドラインツールが用意されています AWS Tools for PowerShell。のインストールと使用の詳細については AWS CLI、 AWS コマンドラインインターフェイスユーザーガイド を参照してください。Tools for のインストールと使用の詳細については PowerShell、「 AWS Tools for PowerShell ユーザーガイド」を参照してください。

AWS SDK

AWS はSDKs を提供します。SDK は、Amazon Inspector および他の AWS のサービスへの便利なプログラムによるアクセスを提供します。SDK は、暗号署名によるリクエスト、エラーの管理、リクエストの自動再試行などのタスクも処理します。 AWS SDKsで構築するツール AWS」を参照してください。

Amazon Inspector REST API

Amazon Inspector REST API は、Amazon Inspector アカウントとリソースへの包括的なプログラムによるアクセスを提供します。この API を使用すると、HTTPS リクエストを Amazon Inspector に直接送信できます。ただし、 AWS コマンドラインツールや SDKsを使用するには、アプリケーションがリクエストに署名するハッシュの生成など、低レベルの詳細を処理する必要があります。