Amazon Inspectorによる脆弱性管理を理解する
Amazon Inspectorは対象資源のソフトウェア脆弱性や意図しないネットワーク露出を検出します。検査の範囲、所見の読み方、修正と再確認の流れを学びます。
この単元で学ぶこと
- Inspectorの脆弱性管理と対象を説明する
- 検査方式と対象範囲の確認を区別する
- 所見から修復と再確認へ進む流れを判断する
本文解説
1. 脆弱性を調べる ソフトウェアの欠陥は攻撃に悪用されるおそれがあります。Inspectorは対象資源を検査し、既知の脆弱性や意図しないネットワーク露出を所見として報告します。不審な活動が既に起きているかを調べるGuardDutyとは主な目的が異なります。
2. 主な対象 EC2インスタンス、ECR内のコンテナイメージ、Lambda関数等が代表的な対象です。ただし対応OS、言語、構成、スキャン方式等の条件を確認します。サービスが対象種別に含まれることと、自社の個別資源が現在検査できていることは同じではありません。
3. EC2の検査方法 EC2のパッケージ情報を収集する方式には、SSMを利用するエージェント方式と、条件を満たす資源のEBSスナップショットを利用するエージェントレス方式があります。方式ごとに対象条件や間隔が異なります。エージェントを導入しただけで検査成功とみなさず、管理状態とカバレッジを確認します。
4. コンテナと関数 ECRの拡張スキャンではInspectorがイメージの脆弱性を検査します。検出後に修正したイメージを作っても、古いイメージで動くアプリへ自動的に置き換わるわけではありません。Lambdaも有効にしたスキャン種別と対応条件を確認し、コードや依存関係の修正を配備へ反映します。
5. 継続的な評価 新しいパッケージや新たに公表された脆弱性等により、以前問題がなかった資源にも所見が生じ得ます。Inspectorは対応する変更等を踏まえて再評価します。「一度検査を通ったので将来も安全」という判断は避け、検査状態と最新結果を継続して確認します。
6. 所見の読み方 所見には影響資源、脆弱性の詳細、重大度や修復の推奨等が含まれます。Inspectorのスコアは環境情報も考慮するため、一般的な脆弱性の基準値と異なる場合があります。外部から到達可能か、重要な業務資源か等も確認して優先順位を判断します。
7. 修正して再確認 Inspectorが脆弱性を見つけたことは、更新を適用したことではありません。利用者は推奨や影響を確認し、更新や設定変更を実施して再評価を確認します。所見を抑制する操作は表示の管理であり、脆弱なパッケージを修正する操作とは区別します。
8. 検査範囲を残す 資源のカバレッジや最終検査等を確認し、対象外・未検査を所見ゼロと混同しないようにします。必要に応じてSecurity Hub CSPMへ集約し、EventBridgeで通知や対応処理へつなげます。検出、優先判断、修正、再確認の証跡をつなぐことが脆弱性管理です。
図解
重要ポイント
- 既知脆弱性等の検査と不審活動検出を分ける。
- 資源種別だけでなく個別の検査状態も見る。
- 所見の抑制と修正を区別する。
間違えやすい点
- 検出した時点でパッチも適用されたと考える。
- 新イメージの作成だけで旧実行環境も更新済みと考える。
用語解説
- 脆弱性
- 攻撃等で悪用される可能性があるソフトウェア等の弱点。
- CVE
- 公開された脆弱性を識別するための共通の識別体系。
- カバレッジ
- どの資源がどの状態で検査対象になっているかという範囲。
- エージェントレス検査
- 対象条件を満たすEC2でEBSスナップショット等から情報を取得する検査方式。
関連教材
参考資料
教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。
確認問題の出題・採点や学習履歴の保存にはログインが必要です。