Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Inspección profunda de Amazon Inspector para las instancias de Linux-based Amazon EC2
nota
Esta página está dirigida a los clientes que no han optado por el escaneo mejorado de EC2. Los clientes que han optado por el escaneo mejorado de EC2 no necesitan ninguna configuración de políticas adicional.
Amazon Inspector amplía la cobertura de análisis de Amazon EC2 para incluir la inspección profunda. Mediante una inspección exhaustiva, Amazon Inspector detecta las vulnerabilidades de los paquetes de lenguajes de programación de aplicaciones en sus instancias de Linux-based Amazon EC2. Amazon Inspector analiza las rutas predeterminadas de las bibliotecas de paquetes de lenguajes de programación. Sin embargo, puede configurar rutas personalizadas además de las rutas que Amazon Inspector analiza de forma predeterminada.
nota
Requisitos ssm:PutInventory y ssm:GetParameter permisos de inspección profunda. Si se configura un perfil de instancia de IAM en la instancia, Amazon Inspector usa ese perfil e ignora la función de DHMC. El perfil de la instancia debe incluir estos permisos. Si no se establece ningún perfil de instancia, Amazon Inspector utiliza el rol de configuración de administración de hosts predeterminado configurado, que debe incluir estos permisos.
Para realizar escaneos de inspección exhaustivos de sus instancias de Linux-based Amazon EC2, Amazon Inspector utiliza los datos recopilados con el complemento SSM de Amazon Inspector. Para administrar el complemento de SSM de Amazon Inspector y llevar a cabo la inspección profunda de Linux, Amazon Inspector crea automáticamente la asociación de SSM InvokeInspectorLinuxSsmPlugin-do-not-delete en la cuenta. Amazon Inspector recopila el inventario de aplicaciones actualizado de sus instancias de Linux-based Amazon EC2 cada 6 horas.
Inspección exhaustiva en Windows y macOS
La inspección profunda no es compatible con las Windows instancias de Mac, a menos que utilices el escaneo EC2 mejorado. En el caso del escaneo EC2 mejorado, la inspección profunda la realiza el escáner de máquinas virtuales Amazon Inspector, que admite Linux instancias Windows ymacOS.
En esta sección, se describe cómo administrar la inspección profunda de Amazon Inspector para las instancias de Amazon EC2 y cómo configurar rutas personalizadas para que Amazon Inspector las analice.
Temas
Acceso o desactivación de la inspección profunda
nota
Para cuentas que activan Amazon Inspector después del 17 de abril de 2023, la inspección profunda se activa automáticamente como parte del análisis de Amazon EC2.
Administración de inspección profunda
-
Inicie sesión con sus credenciales y, a continuación, abra la consola de Amazon Inspector en https://console.aws.amazon.com/inspector/v2/home
-
En el panel de navegación, elija Configuración general y, a continuación, elija configuración de análisis de Amazon EC2.
-
En Inspección profunda de la instancia de Amazon EC2, puede establecer rutas personalizadas para la organización o para su propia cuenta.
Puede comprobar el estado de activación de una sola cuenta mediante programación con la GetEc2DeepInspectionConfiguration API. Puede comprobar el estado de activación mediante programación de varias cuentas con la API BatchGetMemberEc2DeepInspectionStatus.
Si activó Amazon Inspector antes del 17 de abril de 2023, puede desactivar la inspección profunda a través del banner de la consola o con la API UpdateEc2DeepInspectionConfiguration. Si es administrador delegado de una organización en Amazon Inspector, puede utilizar la API BatchUpdateMemberEc2DeepInspectionStatus para activar la inspección profunda para sí mismo y las cuentas de miembros.
Puede desactivar la inspección profunda a través de la API UpdateEc2DeepInspectionConfiguration. Las cuentas de miembros de una organización no pueden desactivar la inspección profunda. Debe hacerlo el administrador delegado para las cuentas de miembros con la API BatchUpdateMemberEc2DeepInspectionStatus.
Rutas personalizadas para la inspección profunda de Amazon Inspector
Puede configurar rutas personalizadas para que Amazon Inspector las escanee durante una inspección exhaustiva de sus instancias de Amazon EC2. Cuando configuras una ruta personalizada, Amazon Inspector escanea los paquetes de ese directorio y todos sus subdirectorios, además de las ubicaciones que Amazon Inspector escanea de forma predeterminada.
importante
Se admiten rutas personalizadas e macOS instancias en las Linux que se utilice el escaneo mejorado de EC2 (el escáner de máquinas virtuales de Amazon Inspector). Windows Si utiliza el complemento SSM antiguo de Amazon Inspector en lugar de Enhanced EC2 Scanning, la inspección profunda y las rutas personalizadas solo están disponibles para las instancias. Linux
Todas las cuentas pueden definir hasta 5 rutas personalizadas. El administrador delegado de una organización puede definir 10 rutas personalizadas.
Amazon Inspector escanea todas las rutas personalizadas, además de las ubicaciones que Amazon Inspector escanea de forma predeterminada para todas las cuentas. En Linux algunos casos, las ubicaciones predeterminadas incluyen lo siguiente:
-
/usr/lib -
/usr/lib64 -
/usr/local/lib -
/usr/local/lib64
En Windows algunos casos, Amazon Inspector escanea de forma predeterminada las ubicaciones de los paquetes estándar del sistema operativo y del lenguaje de programación en la unidad del sistema. El software instalado en una ubicación personalizada o no estándar (por ejemplo, una base de datos o un servidor de aplicaciones en una unidad que no es del todoD:\) solo se escanea si lo agregas como una ruta personalizada.
nota
Las rutas personalizadas deben ser rutas locales. Amazon Inspector no analiza rutas de red asignadas, como los montajes del Sistema de archivos de red o los montajes del sistema de archivos de Amazon S3.
Formato de rutas personalizadas
Ninguna ruta personalizada puede tener más de 256 caracteres. A continuación, se muestra un ejemplo del aspecto que podría tener una ruta personalizada:
Ruta de ejemplo
/home/usr1/project01
nota
El límite de paquetes por instancia es de 5000. El tiempo máximo de recopilación de inventario de paquetes es de 15 minutos. Amazon Inspector le recomienda que elija rutas personalizadas para superar estos límites.
Configuración de una ruta personalizada en la consola de Amazon Inspector y con la API de Amazon Inspector
Los siguientes procedimientos describen cómo establecer una ruta personalizada para la inspección profunda de Amazon Inspector en la consola de Amazon Inspector y con la API de Amazon Inspector. Tras establecer una ruta personalizada, Amazon Inspector la incluirá en la siguiente inspección profunda.
Programaciones personalizadas para la inspección profunda de Amazon Inspector
De forma predeterminada, Amazon Inspector recopila un inventario de aplicaciones de las instancias de Amazon EC2 cada 6 horas. Sin embargo, puede ejecutar los siguientes comandos para controlar la frecuencia con la que Amazon Inspector lo hace.
Ejemplo de comando 1: mostrar las asociaciones para ver el ID de asociación y el intervalo actual
El siguiente comando muestra el ID de asociación de la asociación InvokeInspectorLinuxSsmPlugin-do-not-delete.
aws ssm list-associations \ --association-filter-list "key=AssociationName,value=InvokeInspectorLinuxSsmPlugin-do-not-delete" \ --regionyour-Region
Ejemplo de comando 2: actualizar la asociación para incluir un nuevo intervalo
El siguiente comando usa el ID de asociación para la asociación InvokeInspectorLinuxSsmPlugin-do-not-delete. Puede establecer la frecuencia para schedule-expression desde 6 horas hasta un nuevo intervalo, por ejemplo, 12 horas.
aws ssm update-association \ --association-id "your-association-ID" \ --association-name "InvokeInspectorLinuxSsmPlugin-do-not-delete" \ --schedule-expression "rate(6hours)" \ --regionyour-Region
nota
En función del caso de uso, si establece la frecuencia para schedule-expression desde 6 horas hasta un intervalo de 30 minutos, puede superar el límite de inventario diario de SSM. Esto provoca un retraso en los resultados y es posible que encuentre instancias de Amazon EC2 con estados de error parciales.
Lenguajes de programación admitidos
Para las instancias de Linux, la inspección profunda de Amazon Inspector puede producir resultados sobre los paquetes de lenguajes de programación de aplicaciones y los paquetes del sistema operativo.
Para las instancias de Mac y Windows, la inspección profunda de Amazon Inspector puede producir resultados solo para los paquetes del sistema operativo.
Para obtener más información sobre los lenguajes de programación compatibles, consulte Lenguajes de programación admitidos: inspección profunda de Amazon EC2.
