# EC2 の AMI を起動せずに脆弱性スキャン！Amazon Inspector が対応したよ

やっほー、しぃちゃんだよ！AMI の脆弱性を、使う前にチェックできるようになったよ。これは安心だね！

## なにが発表されたの？

AWS の「AWS What's New」で、Amazon Inspector が **EC2 の Amazon Machine Image（AMI）** の脆弱性スキャンに対応したと発表されたよ。インスタンスを起動したり、追加のソフトをインストールしたりしなくても、AMI の中のソフトウェアの脆弱性を見つけられるの。

## 今までどうだったの？

原文には従来の方法の詳細は書かれていないけど、今回は「AMI がフリート全体でインスタンス起動に使われる前に、元の段階で直せる」ことが売りだよ。

## これで何が変わるの？

スキャンの使い方は 2 通りあるよ。

- 継続的な評価: AMI カタログを監視して、新しく見つかった脆弱性を検出する
- 単発のスキャン: EC2 コンソールから、特定の AMI を狙ってスキャンする

デプロイパイプラインの早い段階で脆弱性を見つけて直せるから、侵害されたコンピュートリソースを展開するリスクを減らせるよ。セキュリティチームも、全 AMI に一貫したスキャンの流れを作れるね。

## 深く潜ってみよう

有効化と連携まわりをまとめるよ。

- Amazon Inspector で、アカウント単位でも組織全体でも AMI スキャンを有効化できる
- AWS Security Hub のお客様は、組織全体にアドオンとして有効化でき、検出結果は Security Hub にも届く
- スキャン結果をもとに **Allowed AMIs** を有効にして、利用できる AMI が満たすべきセキュリティ基準を指定できる。Declarative Policies で組織全体に適用できる
- EC2 Image Builder で AMI を作っている場合は、パイプラインにスキャンを組み込み、基準を満たさない AMI の配布を制限できる

提供は、Amazon Inspector が使えるすべての商用 AWS リージョンだよ。料金は Amazon Inspector の料金ページで確認してね。

## まとめ

- AMI を起動せず、追加ソフトなしで脆弱性をスキャン
- 継続評価と単発スキャンの両方に対応
- Security Hub、Allowed AMIs、Declarative Policies、Image Builder と連携
- アカウント単位でも組織全体でも有効化できる

ゴールデン AMI を配っているプラットフォームチームや、セキュリティ担当の人に刺さる発表だよ！