Amazon Inspector v2のレポート作成(S3へのエクスポート)を試してみる

#Amazon Inspector v2

#AWS

川原征大

2022.10.17

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

Amazon Inspectorは EC2インスタンス、ECRリポジトリの脆弱性スキャンサービスです。

大幅に使いやすくなりECRの脆弱性診断にも対応したAmazon Inspector v2が発表されました！ #reinvent | DevelopersIO

Inspector で発見された各種脆弱性の情報は「検出結果(Findings) 」として保存されます。

この検出結果を S3へレポート出力 できるようになったみたいです。

Added procedures, policy examples, and tips for exporting findings reports from Amazon Inspector to an Amazon Simple Storage Service (Amazon S3) bucket.

October 14, 2022

– Document history for the Amazon Inspector User Guide - Amazon Inspector

さっそくこの機能を試してみました。

内容まとめ

本機能の公式ドキュメントはココ
検出結果をS3バケットにエクスポートする
- S3バケット出力には「KMSのカスタマー管理キー(対象暗号化)」が必要
対応するAPI(CLI)は inspector2:CreateFindingsReport
形式はCSVもしくはJSONから選択
デフォルトではActiveステータスの全検出結果を出力する
- フィルタを使って、他ステータス( Suppressed など)や特定項目 (リソース単位や脆弱性単位など)に、エクスポート範囲をカスタマイズできる
マルチアカウント利用の場合、委任管理者のアカウント上で「全てのメンバーアカウントの検出結果」をレポート可能

以降で公式ドキュメント記載のステップどおりに、レポート作成を試してみました。

事前準備

権限周り

レポート出力には inspector2:CreateFindingsReport を使います。 AWS CLIにも対応するコマンド inspector2 create-findings-report がありました。

create-findings-report — AWS CLI 2.8.3 Command Reference

※その他、前提条件となる権限周り説明は割愛します。公式ドキュメントをご覧ください。

S3バケットの準備

レポート格納用のS3バケットを作成します。

S3バケットはInspectorを使っている(検出結果がある)リージョンと同じにする必要があります。

バケットポリシーには「Inspector2からのオブジェクトアップロードを許可する」ステートメントを追加します。公式ドキュメントにあるポリシー例を自身の環境に合わせて、バケットポリシーを適用します。今回は東京リージョン(ap-northeast-1)上で確かめるので、以下のようなバケットポリシーとしました。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow Amazon Inspector to add objects to the bucket",
      "Effect": "Allow",
      "Principal": {
        "Service": "inspector2.amazonaws.com"
      },
      "Action": [
        "s3:PutObject",
        "s3:PutObjectAcl",
        "s3:AbortMultipartUpload"
      ],
      "Resource": "arn:aws:s3:::${自身のバケット名}/*",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "${AWSアカウントID}"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:inspector2:ap-northeast-1:${AWSアカウントID}:report/*"
        }
      }
    }
  ]
}

KMSキーの準備

S3バケットにレポート出力する際に「KMS カスタマー管理キー(対称)の指定」が必須です。

マネコンにて KMS カスタマー管理キー(対称)を作成します。キーポリシーに以下のようなステートメントを追記しました。

{
  "Sid": "Allow Amazon Inspector to use the key",
  "Effect": "Allow",
  "Principal": {
    "Service": "inspector2.amazonaws.com"
  },
  "Action": [
    "kms:Decrypt",
    "kms:GenerateDataKey*"
  ],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "aws:SourceAccount": "${AWSアカウントID}"
    },
    "ArnLike": {
      "aws:SourceArn": "arn:aws:inspector2:ap-northeast-1:${AWSアカウントID}:report/*"
    }
  }
}