Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Scannen von EC2 Amazon-Instances mit Amazon Inspector

Amazon Inspector Amazon EC2 Scanning extrahiert Metadaten aus Ihrer EC2 Instance, bevor die Metadaten mit Regeln verglichen werden, die in Sicherheitsempfehlungen gesammelt wurden. Amazon Inspector scannt Instances auf Sicherheitslücken in Paketen und Problemen mit der Erreichbarkeit des Netzwerks, um Ergebnisse zu erzielen. Amazon Inspector führt alle 24 Stunden Netzwerkerreichbarkeitsscans und Paketschwachstellenscans in einem variablen Rhythmus durch, der von der Scanmethode abhängt, die mit der Instance verknüpft ist. EC2

Scans nach Sicherheitslücken in Paketen können mit einer agentenbasierten oder agentenlosen Scanmethode durchgeführt werden. Beide Scanmethoden bestimmen, wie und wann Amazon Inspector das Softwareinventar von einer EC2 Instance-Instance für Paketschwachstellenscans erfasst. Agentenbasiertes Scannen erfasst Softwareinventar mithilfe des SSM Agenten, und agentenloses Scannen erfasst Softwareinventar mithilfe von EBS Amazon-Snapshots.

Amazon Inspector verwendet die Scanmethoden, die Sie für Ihr Konto aktivieren. Wenn Sie Amazon Inspector zum ersten Mal aktivieren, wird Ihr Konto automatisch für das Hybrid-Scannen registriert, das beide Scanmethoden verwendet. Sie können diese Einstellung jedoch jederzeit ändern. Informationen zur Aktivierung eines Suchtyps finden Sie unter Einen Scantyp aktivieren. Dieser Abschnitt enthält Informationen zum EC2 Scannen durch Amazon.

Agentengestütztes Scannen

Agentenbasierte Scans werden kontinuierlich mit dem SSM Agenten auf allen geeigneten Instanzen durchgeführt. Für agentenbasierte Scans verwendet Amazon Inspector SSM Verknüpfungen und Plugins, die über diese Verknüpfungen installiert wurden, um Softwarebestand aus Ihren Instances zu sammeln. Zusätzlich zu Paket-Schwachstellenscans für Betriebssystempakete kann das agentenbasierte Scannen von Amazon Inspector auch Paketschwachstellen in Paketen für Anwendungsprogrammiersprachenpakete in Linux-basierten Instances erkennen. Tiefeninspektion von Amazon Inspector für Linux-basierte EC2 Amazon-Instances

Der folgende Prozess erklärt, wie Amazon Inspector SSM Inventar sammelt und agentenbasierte Scans durchführt:

In Frage kommende Instanzen

Amazon Inspector verwendet die agentenbasierte Methode, um eine Instance zu scannen, wenn sie die folgenden Bedingungen erfüllt:

Verhalten beim Scannen auf Agentenbasis

Bei Verwendung der agentenbasierten Scanmethode initiiert Amazon Inspector in den folgenden Situationen neue Schwachstellenscans von EC2 Instances:

Amazon Inspector aktualisiert das Feld Zuletzt gescannt für eine EC2 Instance, wenn ein erster Scan abgeschlossen ist. Danach wird das Feld Zuletzt gescannt aktualisiert, wenn Amazon Inspector das SSM Inventar bewertet (standardmäßig alle 30 Minuten) oder wenn eine Instanz erneut gescannt wird, weil eine neue Instanz, die sich auf diese Instanz CVE auswirkt, zur Amazon Inspector Inspector-Datenbank hinzugefügt wurde.

Sie können auf der Kontoverwaltungsseite auf der Registerkarte Instances überprüfen, wann eine EC2 Instance zuletzt auf Sicherheitslücken gescannt wurde, oder indem Sie ListCoverageBefehl.

Den SSM Agenten konfigurieren

Damit Amazon Inspector mithilfe der agentenbasierten Scanmethode Softwareschwachstellen für eine EC2 Amazon-Instance erkennen kann, muss es sich bei der Instance um eine verwaltete Instance in Amazon EC2 Systems Manager (SSM) handeln. Bei einer SSM verwalteten Instance ist der SSM Agent installiert und läuft und er SSM ist berechtigt, die Instance zu verwalten. Wenn Sie Ihre Instanzen bereits SSM zur Verwaltung verwenden, sind für agentenbasierte Scans keine weiteren Schritte erforderlich.

Der SSM Agent wird standardmäßig auf EC2 Instances installiert, die aus einigen Amazon Machine Images (AMIs) erstellt wurden. Weitere Informationen finden Sie unter SSMAbout Agent im AWS Systems Manager Benutzerhandbuch. Selbst wenn er installiert ist, müssen Sie den SSM Agenten möglicherweise manuell aktivieren und die SSM Erlaubnis zur Verwaltung Ihrer Instanz erteilen.

Das folgende Verfahren beschreibt, wie Sie eine EC2 Amazon-Instance mithilfe eines Instance-Profils als verwaltete IAM Instance konfigurieren. Das Verfahren enthält auch Links zu detaillierteren Informationen im AWS Systems Manager Benutzerhandbuch.

AmazonSSMManagedInstanceCoreist die empfohlene Richtlinie, die Sie verwenden sollten, wenn Sie ein Instanzprofil anhängen. Diese Richtlinie verfügt über alle Berechtigungen, die für das EC2 Scannen mit Amazon Inspector erforderlich sind.

SSMRessourcen, die für das Scannen erstellt wurden

Amazon Inspector benötigt eine Reihe von SSM Ressourcen in Ihrem Konto, um EC2 Amazon-Scans auszuführen. Die folgenden Ressourcen werden erstellt, wenn Sie das Amazon EC2 Inspector-Scannen zum ersten Mal aktivieren:

Scannen ohne Agenten

Amazon Inspector verwendet die agentenlose Scanmethode für berechtigte Instances, wenn sich Ihr Konto im Hybrid-Scanmodus befindet. Der Hybrid-Scanmodus umfasst agentenbasierte und agentenlose Scans und wird automatisch aktiviert, wenn Sie EC2 Amazon-Scanning aktivieren.

Für Scans ohne Agenten verwendet Amazon Inspector EBS Snapshots, um ein Softwareinventar aus Ihren Instances zu erfassen. Beim agentenlosen Scannen werden Instances nach Sicherheitslücken im Betriebssystem und in Paketen der Anwendungsprogrammiersprache durchsucht.

Der folgende Prozess erklärt, wie Amazon Inspector EBS Snapshots verwendet, um Inventar zu sammeln und agentenlose Scans durchzuführen:

Qualifizierte Instanzen

Amazon Inspector verwendet die agentenlose Methode, um eine Instance zu scannen, wenn sie die folgenden Bedingungen erfüllt:

Verhalten beim Scannen ohne Agenten

Wenn Ihr Konto für Hybrid-Scanning konfiguriert ist, führt Amazon Inspector alle 24 Stunden agentenlose Scans auf geeigneten Instances durch. Amazon Inspector erkennt und scannt jede Stunde neue infrage kommende Instances, einschließlich neuer Instances ohne SSM Agenten oder bereits existierende Instances mit Status, der sich auf geändert hat. SSM_UNMANAGED

Amazon Inspector aktualisiert das Feld Zuletzt gescannt für eine EC2 Amazon-Instance, wenn nach einem agentenlosen Scan extrahierte Snapshots aus einer Instance gescannt werden.

Sie können auf der Kontoverwaltungsseite auf der Registerkarte Instances überprüfen, wann eine EC2 Instance zuletzt auf Sicherheitslücken gescannt wurde, oder indem Sie ListCoverageBefehl.

Verwaltung des Scanmodus

Ihr EC2 Scanmodus bestimmt, welche Scanmethoden Amazon Inspector bei der Durchführung von EC2 Scans in Ihrem Konto verwendet. Sie können den Scanmodus für Ihr Konto auf der Seite mit den EC2 Scaneinstellungen unter Allgemeine Einstellungen einsehen. Eigenständige Konten oder von Amazon Inspector delegierte Administratoren können den Scanmodus ändern. Wenn Sie den Scanmodus als delegierter Administrator von Amazon Inspector festlegen, wird dieser Scanmodus für alle Mitgliedskonten in Ihrer Organisation festgelegt. Amazon Inspector bietet die folgenden Scanmodi:

Agentengestütztes Scannen — In diesem Scanmodus verwendet Amazon Inspector ausschließlich die agentenbasierte Scanmethode, um nach Sicherheitslücken in Paketen zu suchen. Dieser Scanmodus scannt nur SSM verwaltete Instances in Ihrem Konto, bietet jedoch den Vorteil, dass als Reaktion auf neue CVE oder Änderungen an den Instances kontinuierliche Scans durchgeführt werden. Agentenbasiertes Scannen bietet auch Amazon Inspector Deep Inspection für berechtigte Instances. Dies ist der Standard-Scanmodus für neu aktivierte Konten.

Hybrid-Scan — In diesem Scanmodus verwendet Amazon Inspector eine Kombination aus agentenbasierten und agentenlosen Methoden, um nach Sicherheitslücken in Paketen zu suchen. Für berechtigte EC2 Instances, auf denen der SSM Agent installiert und konfiguriert ist, verwendet Amazon Inspector die agentenbasierte Methode. Für berechtigte Instances, die nicht SSM verwaltet werden, verwendet Amazon Inspector die agentenlose Methode für berechtigte, EBS unterstützte Instances.

Instanzen von Amazon Inspector-Scans ausschließen

Sie können ausschließen Linux and Windows Instances von Amazon Inspector scannt, indem sie diese Instances mit dem InspectorEc2Exclusion Schlüssel kennzeichnen. Die Angabe eines Tag-Werts ist optional. Informationen zum Hinzufügen von Tags finden Sie unter Taggen Sie Ihre EC2 Amazon-Ressourcen.

Wenn Sie eine Instance für den Ausschluss aus Amazon Inspector-Scans kennzeichnen, markiert Amazon Inspector die Instance als ausgeschlossen und erstellt keine Ergebnisse dafür. Das Amazon SSM Inspector-Plugin wird jedoch weiterhin aufgerufen. Um zu verhindern, dass das Plugin aufgerufen wird, müssen Sie den Zugriff auf Tags in den Instanz-Metadaten zulassen.

Darüber hinaus können Sie ein verschlüsseltes EBS Volume von Scans ohne Agenten ausschließen, indem Sie den AWS KMS Schlüssel, mit dem das Volume verschlüsselt wurde, mit dem Tag kennzeichnen. InspectorEc2Exclusion Weitere Informationen finden Sie unter Kennzeichnen von Schlüsseln.

Unterstützte Betriebssysteme

Amazon Inspector scannt unterstützte Mac-, Windows- und EC2 Linux-Instances auf Sicherheitslücken in Betriebssystempaketen. Für Linux-Instances kann Amazon Inspector Ergebnisse für Anwendungsprogrammiersprachenpakete erstellen, die verwendet Tiefeninspektion von Amazon Inspector für Linux-basierte EC2 Amazon-Instances werden. Für Mac- und Windows-Instances werden nur Betriebssystempakete gescannt.

Informationen zu unterstützten Betriebssystemen, einschließlich der Betriebssysteme, die ohne einen SSM Agenten gescannt werden können, finden Sie unterStatuswerte für EC2 Amazon-Instances.