Amazon Inspector のレポート機能で報告が楽になります

こんばんは、キャンプシーズンに突入した菅野です。 天気が悪くキャンプができないので、腹いせに100円ショップで売っていたシェラカップを買い占めてきました。

という不毛な話しは置いといて、先日気づいた Amazon Inspector の追加機能について書きます。

Amazon Inspector 使っていますか？

以前書いたブログエントリーで、Amazon Inspector は安いですよーとか、こうやれば毎月自動でセキュリティ評価してくれますよーとかご紹介しましたが、皆さんはお使いになられてますか？ 弊社では PCIDSS を取得しており、その対象となる EC2 インスタンスに対して毎月自動でセキュリティ評価をしています。 皆様も、自社のサーバーのセキュリティのチェックの為に定期的にご利用される事をおすすめします。

いつの間にか新機能が・・・

Amazon Inspector のチェック結果を確認していた時に、何やら見慣れぬアイコンを見つけました。 このアイコンはもしかしてレポートじゃ・・・？ ということでとりあえずクリックします（おそるおそる） やはりレポートです。文章では伝わらないと思いますが歓喜してました。

今まではどうだったかというと

Amazon Inspector をお使いの方はお分かりだと思いますが、今まで出力できたのはこんな感じのCSVだけです。 こういったセキュリティチェックを行う際、大抵の場合は管理責任者へ結果を報告しますよね？私もそうです。 弊社の管理責任者は心が広い（？）ので、CSV の結果で満足してくれますが、そうじゃない場合はきちんとしたレポートにして提出よろしくーとか言われます。 また、お客様の AWS 環境をの運用管理を行うお仕事をしていると、お客様にはきれいなレポートにして提出したいですよね。

今回のレポート機能のアウトプット

それではまず、今回の新機能によって作成されたレポートを一部キャプチャしてお見せいたします。 まずは表紙。立派なレポートの感じがいいですね！ 次に内容ですが、4つのセクションに分かれていました。

Section 1: Executive Summary

今回のセキュリティ評価の要約が書かれています。 このルールで見つかった問題の数が表になっていました。

Section 2: What is Tested

今回のチェックに使用したルールの説明が書かれています。 次のページには対象となったインスタンスが一覧になっていました。

Section 3: Findings Summary

見つかった問題の要約が書かれています。 今回のセキュリティ評価に使ったルールと、その結果見つかった問題および該当インスタンス数が記載されていました。

Section 4: Findings Details

見つかった問題の詳細が書かれています。 この内容を元にセキュリティ対策を行うといいでしょう。

レポートは2種類あります

実はレポートは2種類あり、先ほどまで書いた内容が「Findings report」で、もう一つが「Full report」です。 内容の違いについてですが、セクション1〜4までは同じで、「Full report」にはセクション5があります。

Section 5: Passed Rules

今回のチェックに使ったルールの中で、該当しなかった（Passed）脆弱性が全て記載されています。 全てというだけあってかなり膨大なページ数でしたので「Full report」はおすすめしません。

最後に

いかがでしたでしょうか。 私は今回からこのレポートを管理責任者へ提出することにしました。 今までは CSV ファイルをダウンロードしたいのにブラウザに内容が表示されたり、さらに文字化けしていたりと散々でしたが、このレポート作成機能によりぽちぽちとクリックするだけで簡単に綺麗なレポートを入手できるようになりました。 まだレポート作成機能を体験していない方は、是非お試しください。

内緒にしていた話

私が初めて今回の機能を使った時に、すぐにレポートが作成されなかったので 「要求だけして時間が経ったらダウンロードできるのかな」 なんて思い込み、次の日になって「まだダウンロードできない・・・」と悩んでいました。 会社の先輩にも「時間掛かるみたいですよ」なんて言ってみたり。

そんな私から皆さんへのアドバイス

ポップアップブロックには気を付けて下さい