Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Eingehende Überprüfung von Amazon EC2-Instances durch Linux-based Amazon Inspector

Amazon Inspector erweitert die Reichweite von Amazon EC2-Scans um eine gründliche Inspektion. Mit einer gründlichen Inspektion erkennt Amazon Inspector Paketschwachstellen für Pakete in Anwendungsprogrammiersprachen in Ihren Linux-based Amazon EC2-Instances. Amazon Inspector scannt Standardpfade für Programmiersprachen-Paketbibliotheken. Sie können jedoch zusätzlich zu den Pfaden, die Amazon Inspector standardmäßig scannt, benutzerdefinierte Pfade konfigurieren.

Um gründliche Inspektionsscans für Ihre Linux-based Amazon EC2-Instances durchzuführen, verwendet Amazon Inspector Daten, die mit dem Amazon Inspector SSM-Plugin erfasst wurden. Um das Amazon Inspector SSM-Plugin zu verwalten und eine gründliche Inspektion für Linux durchzuführen, erstellt Amazon Inspector automatisch die SSM-Verknüpfung InvokeInspectorLinuxSsmPlugin-do-not-delete in Ihrem Konto. Amazon Inspector erfasst alle 6 Stunden das aktualisierte Anwendungsinventar von Ihren Linux-based Amazon EC2-Instances.

In diesem Abschnitt wird beschrieben, wie Amazon Inspector Deep Inspection für Amazon EC2-Instances verwaltet wird, einschließlich der Festlegung benutzerdefinierter Pfade, die Amazon Inspector scannen soll.

Auf Deep Inspection zugreifen oder es deaktivieren

Sie können den Aktivierungsstatus programmgesteuert für ein einzelnes Konto mit der API überprüfen. GetEc2DeepInspectionConfiguration Sie können den Aktivierungsstatus programmgesteuert für mehrere Konten mit der API überprüfen. BatchGetMemberEc2DeepInspectionStatus

Wenn Sie Amazon Inspector vor dem 17. April 2023 aktiviert haben, können Sie Deep Inspection über das Konsolenbanner oder die UpdateEc2DeepInspectionConfiguration API aktivieren. Wenn Sie der delegierte Administrator für eine Organisation in Amazon Inspector sind, können Sie die BatchUpdateMemberEc2DeepInspectionStatus API verwenden, um Deep Inspection für sich und Ihre Mitgliedskonten zu aktivieren.

Sie können Deep Inspection über die UpdateEc2DeepInspectionConfiguration API deaktivieren. Mitgliedskonten in einer Organisation können Deep Inspection nicht deaktivieren. Stattdessen muss das Mitgliedskonto vom beauftragten Administrator mithilfe der BatchUpdateMemberEc2DeepInspectionStatus API deaktiviert werden.

Benutzerdefinierte Pfade für die gründliche Inspektion durch Amazon Inspector

Sie können benutzerdefinierte Pfade festlegen, die Amazon Inspector bei der gründlichen Inspektion Ihrer Amazon EC2-Instances scannen soll. Wenn Sie einen benutzerdefinierten Pfad festlegen, scannt Amazon Inspector Pakete in diesem Verzeichnis und allen darin enthaltenen Unterverzeichnissen, zusätzlich zu den Speicherorten, die Amazon Inspector standardmäßig scannt.

Alle Konten können bis zu 5 benutzerdefinierte Pfade definieren. Der delegierte Administrator einer Organisation kann 10 benutzerdefinierte Pfade definieren.

Amazon Inspector scannt alle benutzerdefinierten Pfade zusätzlich zu den Speicherorten, die Amazon Inspector standardmäßig für alle Konten scannt. Bei Linux Instances gehören zu den Standardspeicherorten Folgendes:

Auf Windows Instances scannt Amazon Inspector standardmäßig die Speicherorte von Standardbetriebssystem- und Programmiersprachenpaketen auf dem Systemlaufwerk. Software, die an einem benutzerdefinierten oder nicht standardmäßigen Speicherort installiert ist — zum Beispiel in einer Datenbank oder einem Anwendungsserver auf einem Systemlaufwerk wie D:\ — wird nur gescannt, wenn Sie sie als benutzerdefinierten Pfad hinzufügen.

Formatieren benutzerdefinierter Pfade

Ein benutzerdefinierter Pfad darf nicht länger als 256 Zeichen sein. Das Folgende ist ein Beispiel dafür, wie ein benutzerdefinierter Pfad aussehen könnte:

Beispiel für einen Pfad

/home/usr1/project01

Einen benutzerdefinierten Pfad in der Amazon Inspector-Konsole und mit der Amazon Inspector-API einrichten

Die folgenden Verfahren beschreiben, wie Sie in der Amazon Inspector-Konsole und mit der Amazon Inspector-API einen benutzerdefinierten Pfad für Amazon Inspector Deep Inspection einrichten. Nachdem Sie einen benutzerdefinierten Pfad festgelegt haben, bezieht Amazon Inspector den Pfad in die nächste Tiefeninspektion ein.

Console

1. Melden Sie sich AWS-Managementkonsole als delegierter Administrator an und öffnen Sie die Amazon Inspector-Konsole unter https://console.aws.amazon.com/inspector/v2/home

2. Verwenden Sie den AWS-Region Selector, um die Region auszuwählen, in der Sie das Lambda-Standard-Scannen aktivieren möchten.

3. Wählen Sie im Navigationsbereich Allgemeine Einstellungen und dann EC2-Scaneinstellungen aus.

4. Wählen Sie unter Benutzerdefinierte Pfade für Ihr eigenes Konto die Option Bearbeiten aus.

5. Geben Sie in den Pfadtextfeldern Ihre benutzerdefinierten Pfade ein.

6. Wählen Sie Speichern.

API

Führen Sie den Befehl UpdateEc2DeepInspectionConfiguration aus. Für packagePaths geben Sie eine Reihe von Pfaden an, die gescannt werden sollen.

Benutzerdefinierte Zeitpläne für die gründliche Inspektion durch Amazon Inspector

Standardmäßig erfasst Amazon Inspector alle 6 Stunden ein Anwendungsinventar von Amazon EC2-Instances. Sie können jedoch die folgenden Befehle ausführen, um zu steuern, wie oft Amazon Inspector dies tut.

Beispielbefehl 1: Zuordnungen auflisten, um die Zuordnungs-ID und das aktuelle Intervall anzuzeigen

Der folgende Befehl zeigt die Assoziations-ID für die Assoziation anInvokeInspectorLinuxSsmPlugin-do-not-delete.

aws ssm list-associations \
--association-filter-list "key=AssociationName,value=InvokeInspectorLinuxSsmPlugin-do-not-delete" \
--region your-Region

Beispielbefehl 2: Aktualisieren Sie die Zuordnung, um ein neues Intervall einzuschließen

Der folgende Befehl verwendet die Zuordnungs-ID für die ZuordnungInvokeInspectorLinuxSsmPlugin-do-not-delete. Sie können die Rate für einen Zeitraum schedule-expression von 6 Stunden bis zu einem neuen Intervall, z. B. 12 Stunden, festlegen.

aws ssm update-association \
--association-id "your-association-ID" \
--association-name "InvokeInspectorLinuxSsmPlugin-do-not-delete" \
--schedule-expression "rate(6 hours)" \
--region your-Region

Unterstützte Programmiersprachen

Bei Linux-Instances kann Amazon Inspector Deep Inspection Ergebnisse für Pakete mit Anwendungsprogrammiersprachen und Betriebssystempaketen liefern.

Bei Mac- und Windows-Instances kann Amazon Inspector Deep Inspection nur Ergebnisse für Betriebssystempakete liefern.

Weitere Informationen zu unterstützten Programmiersprachen finden Sie unter Unterstützte Programmiersprachen: Amazon EC2 Deep Inspection.