EC2 の AMI を起動せずに脆弱性スキャン！Amazon Inspector が対応したよ

やっほー、しぃちゃんだよ！AMI の脆弱性を、使う前にチェックできるようになったよ。これは安心だね！

AWS What's New aws.amazon.com

なにが発表されたの？

AWS の「AWS What's New」で、Amazon Inspector が EC2 の Amazon Machine Image（AMI） の脆弱性スキャンに対応したと発表されたよ。インスタンスを起動したり、追加のソフトをインストールしたりしなくても、AMI の中のソフトウェアの脆弱性を見つけられるの。

今までどうだったの？

原文には従来の方法の詳細は書かれていないけど、今回は「AMI がフリート全体でインスタンス起動に使われる前に、元の段階で直せる」ことが売りだよ。

これで何が変わるの？

スキャンの使い方は 2 通りあるよ。

• 継続的な評価: AMI カタログを監視して、新しく見つかった脆弱性を検出する
• 単発のスキャン: EC2 コンソールから、特定の AMI を狙ってスキャンする

デプロイパイプラインの早い段階で脆弱性を見つけて直せるから、侵害されたコンピュートリソースを展開するリスクを減らせるよ。セキュリティチームも、全 AMI に一貫したスキャンの流れを作れるね。

深く潜ってみよう

有効化と連携まわりをまとめるよ。

• Amazon Inspector で、アカウント単位でも組織全体でも AMI スキャンを有効化できる
• AWS Security Hub のお客様は、組織全体にアドオンとして有効化でき、検出結果は Security Hub にも届く
• スキャン結果をもとに Allowed AMIs を有効にして、利用できる AMI が満たすべきセキュリティ基準を指定できる。Declarative Policies で組織全体に適用できる
• EC2 Image Builder で AMI を作っている場合は、パイプラインにスキャンを組み込み、基準を満たさない AMI の配布を制限できる

提供は、Amazon Inspector が使えるすべての商用 AWS リージョンだよ。料金は Amazon Inspector の料金ページで確認してね。

まとめ

• AMI を起動せず、追加ソフトなしで脆弱性をスキャン
• 継続評価と単発スキャンの両方に対応
• Security Hub、Allowed AMIs、Declarative Policies、Image Builder と連携
• アカウント単位でも組織全体でも有効化できる

ゴールデン AMI を配っているプラットフォームチームや、セキュリティ担当の人に刺さる発表だよ！