AWSを使って脆弱性検査を行う

こんにちは、サーバーエンジニアの土井です。

サーバーエンジニアのみなさん、脆弱性対策どうしてますか？

私がこれまで経験したことのある対策は、こんな感じでした。

AWSには、脆弱性検査をするためのマネージド・サービスがあり、それを使えばかんたんに検査ができちゃいます。

Amazon Inspectorでは、EC2に対するネットワーク設定の妥当性や、インスタンスで実行されるアプリケーションのセキュリティを検査できます。

これらを組み合わせて使用できます。

Amazon Inspectorのページから、「評価ターゲット」「評価テンプレート」の順で作成します。

All Instancesにチェックを入れると全てのEC2インスタンスに対して実行します。
チェックを外すとタグ指定したインスタンスにのみ実行。なんかもできます。

さきほど作成したターゲットを選択し、実行したいルールパッケージを選んでいきます。

作成が終われば、テンプレートを選択し、実行することができます。

結果は、重要度別に表示してくれます。
詳細を見てみると、どういう対処をすべきかなどのアドバイスも書いてくれています。

ECS等を利用している場合、Amazon Inspectorでは脆弱性検査ができません。
しかし、ECRにイメージのスキャナが提供されているので、そちらで代用できます。

ECRのページにより、pushしているイメージを選択し、右上のほうにある「スキャン」ボタンがあるのでそれを押すだけです。

Inspectorと同じように、重要度やアドバイスなども記載があるので、それを見つついい感じに対処していくと良いでしょう。

CloudwatchEventやChatbotを使い、これらの検査の定期実行＆レポートを行えば、これまで個々人の努力と経験により行っていた脆弱性検査を、ある程度自動化できると思います。

しかし、あたりまえの話ですが毎秒検査を行うわけにはいかない都合上、速報ベースの脆弱性情報は、次の実行タイミングまでひっかかることはありません。
ですので、脆弱性情報にアンテナを張り続けることは、これからも重要だと思います。

また、オープンソースの脆弱性スキャナ（ClairやValus）を使えば、似たようなことはできます。

しかしそれでもAWSのサービスを使う理由としては
-マネージド・サービスになっているので、スキャナ自体のメンテは不要

最後まで読んでいただきありがとうございます。