AWS入門ブログリレー2024〜 Amazon Inspector 編〜

Amazon Inspector について 2024 年時点の情報をまとめてみました。AWS サービス入門記事として是非ご活用下さい。

AWS再入門2024

#AWS

#Amazon Inspector

#Amazon Inspector Classic

#Amazon Inspector v2

和田響

2024.04.01

こんにちは。AWS事業本部コンサルティング部に所属している和田響です。

当エントリは弊社 AWS 事業本部による『AWS 入門ブログリレー 2024』の 8 日目のエントリです。

このブログリレーの企画は、普段 AWS サービスについて最新のネタ・深い/細かいテーマを主に書き連ねてきたメンバーの手によって、今一度初心に返って、基本的な部分を見つめ直してみよう、解説してみようというコンセプトが含まれています。

AWS をこれから学ぼう！という方にとっては文字通りの入門記事として、またすでに AWS を活用されている方にとっても AWS サービスの再発見や 2024 年のサービスアップデートのキャッチアップの場となればと考えておりますので、ぜひ最後までお付合い頂ければ幸いです。

Amazon Inspector とは

Amazon Inspector とは、ソフトウェアの脆弱性や意図しないネットワークの露出を継続的にスキャンする脆弱性管理サービスです。

Classic と v2 について

2021年にそれまでの Amazon Inspector を大幅にアップデートした「Amazon Inspector v2」が発表されました。

「Amazon Inspector v2」は、厳密にはそれまでの Amazon Inspector とは別のサービスと言う位置付けになるため、それまでの Amazon Inspector は「Amazon Inspector Classic」と呼ばれるようになりました。

したがって、現時点においての Amazon Inspector とは多くの場合「Amazon Inspector v2」のことを指しています。 本エントリの内容も「Amazon Inspector v2」についての記載になります。

両者の違いについては以下の記事を参照ください。

脆弱性検出

検出対象

Amazon Inspector は以下のリソースの脆弱性を検出します。

Amazon EC2 インスタンス
Amazon Elastic Container Registry (Amazon ECR) のコンテナイメージ
AWS Lambda 関数

検知できる脆弱性の種類

Amazon Inspector は大きく分けて「パッケージ脆弱性」「コードの脆弱性」「ネットワーク到達可能性」を検知可能です。

パッケージ脆弱性

パッケージ脆弱性の検出結果は、共通脆弱性識別子 (CVE) が露出されている AWS 環境内のソフトウェアパッケージを特定します。
攻撃者が、こうしたパッチが適用されていない脆弱性を利用し、データの機密性、完全性、可用性を侵害したり、他のシステムにアクセスしたりする可能性があるものを検知し、セキュリティ向上に役立てます。

Amazon Inspector ではEC2インスタンス、ECR コンテナイメージ、およびLambda 関数についてパッケージ脆弱性の検出することができます。

コードの脆弱性

コード脆弱性の検出結果は、攻撃者が悪用する可能性のあるコード内の行を特定します。コードの脆弱性には、インジェクションの欠陥、データ漏洩、脆弱な暗号化、コード内の暗号化の欠落などがあります。
Amazon Inspector は、自動推論と機械学習を使用して Lambda 関数のアプリケーションコードを評価することができます。

ネットワーク到達可能性

ネットワーク到達可能性の検出結果は、環境内のEC2インスタンスへのネットワークパスが開いていることを示しています。
インターネットゲートウェイ (Application Load Balancer または Classic Load Balancer の背後にあるインスタンスを含む)、VPC ピアリング接続、または仮想ゲートウェイを介した VPN など、VPC エッジから TCP および UDP ポートに到達可能かどうかを検知します。