Perguntas frequentes sobre o Amazon Inspector

Você pode ativar o Amazon Inspector para toda a sua organização ou uma conta individual com algumas etapas no Console de Gerenciamento da AWS. Uma vez ativado, o Amazon Inspector descobre automaticamente as instâncias do Amazon EC2 em execução, as funções do Lambda e os repositórios do Amazon ECR e começa imediatamente a verificação contínua das workloads em busca de vulnerabilidades de software e exposição não intencional da rede. Se você é iniciante no Amazon Inspector, uma avaliação gratuita de 15 dias também está disponível.

Uma descoberta do Amazon Inspector é uma vulnerabilidade de segurança potencial. Por exemplo, quando o Amazon Inspector detecta vulnerabilidades de software ou abre caminhos de rede para seus recursos de computação, ele cria descobertas de segurança.

Sim. O Amazon Inspector está integrado ao AWS Organizations. Você pode atribuir uma conta de DA ao Amazon Inspector, que atua como a conta de administrador principal do Amazon Inspector e pode gerenciá-lo e configurá-lo centralmente. A conta do DA pode visualizar e gerenciar centralmente as descobertas de todas as contas que fazem parte da sua organização AWS.

A conta do AWS Organizations Management pode atribuir uma conta DA para Amazon Inspector no console do Amazon Inspector ou usando APIs do Amazon Inspector.

Se você estiver iniciando o Amazon Inspector pela primeira vez, todos os tipos de verificação, incluindo a verificação do EC2, do Lambda e de imagem de contêiner ECR, serão ativados por padrão. No entanto, você pode desativar qualquer um ou todos eles em todas as contas da sua organização. Os usuários existentes podem ativar novos recursos no console do Amazon Inspector ou usando as APIs do Amazon Inspector.

Não, você não precisa de um agente para verificar. Para a verificação de vulnerabilidades das instâncias do Amazon EC2, você pode usar o AWS Systems Manager Agent (SSM Agent) para uma solução baseada em agentes. O Amazon Inspector também oferece escaneamento sem agente (prévia) se você não tiver o SSM Agent implantado ou configurado. Para avaliar a acessibilidade da rede das instâncias do Amazon EC2, a verificação de vulnerabilidade de imagens de contêineres ou a verificação de vulnerabilidade das funções do Lambda, nenhum agente é necessário. 

Para verificar com êxito as instâncias do Amazon EC2 em busca de vulnerabilidades de software, o Amazon Inspector exige que essas instâncias sejam gerenciadas pelo AWS Systems Manager e o SSM Agent. Consulte Pré-requisitos do gerente de sistemas no Guia do usuário do AWS Systems Manager para obter instruções para ativar e configurar o Systems Manager. Para obter informações sobre instâncias gerenciadas, consulte a seção Managed Instances no Guia do usuário do AWS Systems Manager.

O Amazon Inspector oferece suporte à configuração de regras de inclusão para selecionar quais repositórios ECR são verificados. As regras de inclusão podem ser criadas e gerenciadas na página de configurações do registro no console ECR ou usando APIs ECR. Os repositórios ECR que correspondem às regras de inclusão são configurados para verificação. O status detalhado da verificação dos repositórios está disponível nos consoles ECR e Amazon Inspector.

O painel de cobertura ambiental no painel do Amazon Inspector mostra as métricas para contas, instâncias do Amazon EC2, funções do Lambda e repositórios do Amazon ECR sendo ativamente verificados pelo Amazon Inspector. Cada instância e imagem tem um status de verificação: Scanning (Verificando) ou Not Scanning (Não verificando). Scanning significa que o recurso está sendo verificado continuamente, quase em tempo real. Um status Not Scanning pode significar que a verificação inicial ainda não foi realizada, o sistema operacional não é compatível ou algo mais está impedindo a verificação.

Todas as verificações são realizadas automaticamente com base em eventos. Todas as workloads são inicialmente digitalizadas na descoberta e subsequentemente digitalizadas novamente.

• Para instâncias do Amazon EC2: para digitalizações baseadas em atendente SSM, são iniciadas quando um novo pacote de software é instalado ou desinstalado em uma instância, quando um novo CVE é publicado e depois que um pacote vulnerável é atualizado (para confirmar que não há vulnerabilidades adicionais). Para digitalizações sem atendente, as digitalizações são realizadas a cada 24 horas.
• Para imagens de contêiner do Amazon ECR: as novas digitalizações automatizadas são iniciadas para imagens de contêiner qualificadas quando um novo CVE que afeta uma imagem é publicado. As novas digitalizações automáticas de imagens de contêiner são baseadas nas durações de redigitalização configuradas para a data de envio e a data de extração da imagem no console ou nas APIs do Amazon Inspector. Se a data de envio de uma imagem for menor que a “Duração da nova digitalização da data de envio” configurada e a imagem tiver sido extraída dentro da “Duração da nova verificação da data de retirada” configurada, a imagem do contêiner continuará sendo monitorada e as novas digitalizações automáticas serão iniciadas quando um novo CVE afetando uma imagem for publicado. As configurações de duração da nova digitalização disponíveis para a data de envio da imagem são 90 dias (por padrão), 14 dias, 30 dias, 60 dias, 180 dias ou vitalício. As configurações de duração da nova digitalização para a data de retirada da imagem são 90 dias (por padrão), 14 dias, 30 dias, 60 dias ou 180 dias.
• Para funções do Lambda: todas as novas funções do Lambda são inicialmente avaliadas após a descoberta e continuamente reavaliadas quando há uma atualização na função do Lambda ou um novo CVE é publicado.

As imagens de contêiner que residem nos repositórios do Amazon ECR configurados para digitalização contínua são digitalizadas pelo período definido no console ou nas APIs do Amazon Inspector. As configurações de duração da nova digitalização disponíveis para a data de envio da imagem são 90 dias (por padrão), 14 dias, 30 dias, 60 dias, 180 dias ou vitalícias. As configurações de duração da nova digitalização para a data de retirada da imagem são 90 dias (por padrão), 14 dias, 30 dias, 60 dias ou 180 dias.

• Quando a digitalização do Amazon Inspector ECR é ativada, o Amazon Inspector coleta apenas imagens enviadas ou extraídas nos últimos 30 dias para digitalização, mas as digitaliza continuamente para a nova digitalização durante o período configurado para data de envio e de retirada, ou seja, 90 dias (por padrão), 14 dias, 30 dias, 60 dias, 180 dias ou vitalício. Se a data de envio de uma imagem for menor que a “Duração da nova digitalização da data de envio” configurada E a imagem tiver sido extraída dentro da “Duração da nova verificação da data de retirada” configurada, a imagem do contêiner continuará sendo monitorada e as novas digitalizações automáticas serão iniciadas quando um novo CVE afetando uma imagem for publicado. Por exemplo, ao ativar a digitalização do Amazon Inspector ECR, o Amazon Inspector coleta imagens enviadas ou retiradas nos últimos 30 dias para digitalização. No entanto, após a ativação, se você selecionar uma duração de nova digitalização de 180 dias para as configurações das datas de envio e de retirada, o Amazon Inspector continuará a digitalizar as imagens se elas tiverem sido enviadas nos últimos 180 dias ou tiverem sido retiradas pelo menos uma vez nos últimos 180 dias. Se uma imagem não tiver sido enviada ou retirada nos últimos 180 dias, o Amazon Inspector deixará de monitorá-la.
• Todas as imagens enviadas para o ECR após a ativação do escaneamento ECR do Amazon Inspector são digitalizadas continuamente pela duração configurada em “Duração da redigitalização da data de envio” e “Duração da redigitalização da data de retirada”. As configurações de duração da nova digitalização disponíveis para a data de envio da imagem são 90 dias (por padrão), 14 dias, 30 dias, 60 dias, 180 dias ou vitalícias. As configurações de duração da nova digitalização para a data de retirada da imagem são 90 dias (por padrão), 14 dias, 30 dias, 60 dias ou 180 dias. A duração da redigitalização automática é calculada com base na data do último envio ou retirada de uma imagem de contêiner. Por exemplo, depois de ativar a digitalização do Amazon Inspector ECR, se você selecionar uma duração de redigitalização de 180 dias para as configurações das datas de envio e de retirada, o Amazon Inspector continuará a digitalizar as imagens se elas tiverem sido enviadas nos últimos 180 dias ou tiverem sido retiradas pelo menos uma vez nos últimos 180 dias. No entanto, se uma imagem não tiver sido enviada ou retirada nos últimos 180 dias, o Amazon Inspector deixará de monitorá-la.
• Se a imagem estiver no estado de “elegibilidade de digitalização expirada”, você poderá extraí-la para trazê-la de volta ao monitoramento do Amazon Inspector. A imagem será digitalizada continuamente de acordo com as durações de novas digitalizações de datas de envio e de retirada configuradas a partir da data da última retirada.

• Em instâncias do Amazon EC2: sim, uma instância do EC2 pode ser excluída da verificação por meio da adição de uma tag de recurso. Você pode usar a chave “InspectorEc2Exclusion”, e o valor é <optional>.
• Em imagens de contêiner que residem no Amazon ECR: sim. Embora você possa selecionar quais repositórios do Amazon ECR são configurados para verificação, todas as imagens em um repositório serão verificadas. É possível criar regras de inclusão para selecionar quais repositórios devem ser verificados.
• Para funções do Lambda: sim, é possível excluir uma função do Lambda da verificação por meio da adição de uma tag de recurso. Para verificação padrão, use a chave “InspectorExclusion” e o valor “LambdaStandardScanning”. Para leitura de código, use a chave “InspectorCodeExclusion” e o valor “LambdaCodeScanning”.

Em uma estrutura de várias contas, você pode ativar o Amazon Inspector para avaliações de vulnerabilidades do Lambda em todas as suas contas na AWS Organization. Para isso, você pode usar o console ou as APIs do Amazon Inspector por meio da conta do Delegated Administrator (DA – Administrador delegado), enquanto outras contas de membros podem ativar o Amazon Inspector para suas próprias contas se a equipe de segurança central ainda não tiver feito isso. As contas que não fazem parte da AWS Organization podem ativar o Amazon Inspector em suas contas individuais por meio do console ou das APIs do Amazon Inspector.

O Amazon Inspector monitorará e avaliará continuamente apenas a versão $LATEST. As novas verificações automatizadas continuarão apenas para a versão mais recente, portanto, novas descobertas serão geradas apenas para a versão mais recente. No console, você poderá ver as descobertas de qualquer versão selecionando a versão no menu suspenso.

Não. Há duas opções: ativar apenas a verificação padrão do Lambda ou habilitar a verificação padrão e de código do Lambda juntas. A verificação padrão do Lambda fornece proteção fundamental de segurança contra dependências vulneráveis usadas na aplicação implantada como funções do Lambda e camadas de associação. A verificação de código do Lambda aumenta o valor da segurança ao verificar o código de sua aplicação própria personalizada em uma função do Lambda em busca de vulnerabilidades de segurança de código, como falhas de injeção, vazamentos de dados, criptografia fraca ou segredos incorporados.

Alterar a frequência de coleta de inventário SSM padrão pode ter um impacto na natureza contínua da verificação. O Amazon Inspector depende do SSM Agent para coletar o inventário de aplicações e gerar descobertas. Se a duração do inventário de aplicações aumentar para além do padrão de 30 minutos, isso atrasará a detecção de alterações no inventário de aplicações, e novas descobertas poderão ser atrasadas.

A pontuação de risco do Amazon Inspector é uma pontuação altamente contextualizada gerada para cada descoberta, correlacionando informações de vulnerabilidades e exposições comuns (CVE) com resultados de acessibilidade de rede, dados de exploração e tendências de mídias sociais. Isso facilita a priorização das descobertas e a concentração nas descobertas mais essenciais e nos recursos vulneráveis. Você pode ver como a pontuação de risco do Inspetor foi calculada e quais fatores influenciaram a pontuação na guia Inspector Score (Pontuação do Inspector) no painel lateral Findings Details (Detalhes das descobertas).

Por exemplo: Há um novo CVE identificado em sua instância do Amazon EC2, que só pode ser explorado remotamente. Se as verificações contínuas de acessibilidade de rede do Amazon Inspector também descobrirem que a instância não pode ser acessada pela Internet, ele saberá que a vulnerabilidade tem menos probabilidade de ser explorada. Portanto, o Amazon Inspector correlaciona os resultados da verificação com o CVE para ajustar a pontuação de risco para baixo, refletindo com mais precisão o impacto do CVE nessa instância específica.

O Amazon Inspector permite suprimir descobertas com base nos critérios personalizados que você define. Você pode criar regras de supressão para descobertas que são consideradas aceitáveis por sua organização.

Você pode gerar relatórios em vários formatos (CSV ou JSON) com algumas etapas no console do Amazon Inspector ou por meio das APIs do Amazon Inspector. Você pode baixar um relatório completo com todas as descobertas ou gerar e baixar um relatório personalizado com base nos filtros de visualização definidos no console.

Não. Há duas opções: ativar apenas a verificação padrão do Lambda ou habilitar a verificação padrão e de código do Lambda juntas. A verificação padrão do Lambda fornece proteção fundamental de segurança contra dependências vulneráveis usadas na aplicação implantada como funções do Lambda e camadas de associação. A verificação de código do Lambda aumenta o valor da segurança ao verificar o código de sua aplicação própria personalizada em uma função do Lambda em busca de vulnerabilidades de segurança de código, como falhas de injeção, vazamentos de dados, criptografia fraca ou segredos incorporados.

É possível gerar e exportar SBOMs para todos os recursos monitorados pelo Amazon Inspector, em vários formatos (CycloneDx ou SPDX), com algumas etapas no console do Amazon Inspector ou por meio das APIs do Amazon Inspector. Você pode baixar um relatório completo com o SBOM para todos os recursos ou gerar e baixar seletivamente SBOMs para alguns recursos selecionados com base nos filtros de visualização definidos.

Para clientes atuais do Amazon Inspector que usam uma única conta, você pode ativar a verificação sem agente (versão de demonstração) visitando a página de gerenciamento de contas no console do Amazon Inspector ou usando APIs.

Para clientes atuais do Amazon Inspector que usam o AWS Organizations, seu administrador delegado precisa migrar completamente toda a organização para uma solução sem agente ou continuar usando exclusivamente a solução baseada em agentes do SSM. Você pode alterar a configuração do modo de verificação na página de configurações do EC2 no console ou por meio de APIs.

Para novos clientes do Amazon Inspector, durante o período de pré-visualização da verificação sem agente, as instâncias são verificadas no modo de verificação baseada em agente quando você ativa a verificação do EC2. Você pode alternar para o modo de verificação híbrida, se necessário. No modo de verificação híbrida, o Amazon Inspector conta com SSM Agents para coleta de inventário de aplicações para realizar avaliações de vulnerabilidade e recorre automaticamente à verificação sem agente para instâncias que não têm SSM Agents instalados ou configurados.

O Amazon Inspector acionará automaticamente uma verificação a cada 24 horas para instâncias marcadas para verificação sem agente (versão de demonstração). Não haverá alteração no comportamento de verificação das instâncias marcadas para varreduras baseadas em agentes do SSM. 

Você pode ver o modo de digitalização na coluna “uso monitorado” simplesmente visitando as páginas de cobertura de recursos no console do Amazon Inspector ou usando as APIs de cobertura do Amazon Inspector. 

Não, em uma configuração de várias contas, somente administradores delegados podem configurar o modo de verificação para toda a organização.

As equipes de aplicações e plataformas podem integrar o Amazon Inspector em seus pipelines de criação usando plug-ins do Amazon Inspector criados especificamente para várias ferramentas de CI/CD, como Jenkins e TeamCity. Esses plug-ins estão disponíveis no mercado de cada ferramenta de CI/CD respectiva. Depois que o plug-in estiver instalado, você poderá adicionar uma etapa no pipeline para realizar uma avaliação da imagem do contêiner e realizar ações, como bloquear o pipeline com base nos resultados da avaliação. Quando as vulnerabilidades são identificadas na avaliação, são geradas descobertas de segurança acionáveis. Essas descobertas incluem detalhes de vulnerabilidade, recomendações de remediação e detalhes de explorabilidade. Eles são devolvidos à ferramenta de CI/CD nos formatos JSON e CSV, que podem ser traduzidos em um painel legível por humanos pelo plug-in Amazon Inspector ou podem ser baixados por equipes.

Não, você não precisa habilitar o Amazon Inspector para usar esse recurso, desde que tenha uma conta ativa da AWS.

Sim. O Amazon Inspector usa o SSM Agent para coletar o inventário de aplicações, que pode ser configurado como Endpoints da Amazon Virtual Private Cloud (VPC) para evitar o envio de qualquer informação pela Internet.

Você pode encontrar a lista de sistemas operacionais (SO) com suporte aqui.

Você pode encontrar a lista de pacotes de linguagem de programação com suporte aqui.

Sim. As instâncias que usam NAT são automaticamente compatíveis com o Amazon Inspector.

Sim. Veja como configurar o SSM Agent para usar um proxy para obter mais informações.

O Amazon Inspector se integra ao Amazon EventBridge para fornecer notificação para eventos, como uma nova descoberta, mudança de estado de uma descoberta ou criação de uma regra de supressão. O Amazon Inspector também se integra ao AWS CloudTrail para o registro em log de chamadas.

Sim. Você pode executar o Amazon Inspector para realizar avaliações direcionadas e sob demanda em relação aos benchmarks de configuração do CIS no nível do sistema operacional para instâncias do Amazon EC2 em toda a sua organização da AWS.

Sim. Consulte Parceiros do Amazon Inspector para obter mais informações.

Sim. Você pode desativar todos os tipos de verificação (verificação do Amazon EC2, de imagens de contêiner do Amazon ECR e de funções do Lambda) desativando o serviço Amazon Inspector ou pode desativar cada tipo de verificação individualmente para uma conta.

Não. O Amazon Inspector não oferece suporte a um estado suspenso.