View a markdown version of this page

Linux ベースの Amazon EC2 インスタンス向け Amazon Inspector 詳細検査 - Amazon Inspector
詳細検査へのアクセスまたは無効化Amazon Inspector 詳細検査のカスタムパスAmazon Inspector 詳細検査のカスタムスケジュールサポートされているプログラミング言語

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Linux ベースの Amazon EC2 インスタンス向け Amazon Inspector 詳細検査

注記

このページは、拡張 EC2 スキャンにオプトインしていないお客様に適用されます。拡張 EC2 スキャンをオプトインしたお客様は、追加のポリシー設定は必要ありません。

Amazon Inspector は Amazon EC2 スキャンの対象範囲を拡大し、詳細検査を含めました。詳細検査により、Amazon Inspector は Linux ベースの Amazon EC2 インスタンス内のアプリケーションプログラミング言語パッケージのパッケージ脆弱性を検出します。Amazon Inspector は、プログラミング言語パッケージライブラリのデフォルトパスをスキャンします。ただし、Amazon Inspector がデフォルトでスキャンするパスに加えて、カスタムパスを設定できます。

注記

詳細検査には、 ssm:PutInventoryおよび アクセスssm:GetParameter許可が必要です。IAM インスタンスプロファイルがインスタンスで設定されている場合、Amazon Inspector はそのプロファイルを使用し、DHMC ロールを無視します。インスタンスプロファイルには、これらのアクセス許可を含める必要があります。インスタンスプロファイルが設定されていない場合、Amazon Inspector は設定されたデフォルトのホスト管理設定ロールを使用します。このロールには、これらのアクセス許可を含める必要があります。

Amazon Inspector は、Linux ベースの Amazon EC2 インスタンスの詳細検査スキャンを実行するため、Amazon Inspector SSM プラグインで収集されたデータを使用します。Amazon Inspector SSM プラグインを管理し、Linux 用の詳細検査を実行するために、Amazon Inspector はアカウントに SSM 関連付け InvokeInspectorLinuxSsmPlugin-do-not-delete を自動的に作成します。Amazon Inspector は、6 時間ごとに Linux ベースの Amazon EC2 インスタンスから更新されたアプリケーションインベントリを収集します。

Windows および macOS での詳細な検査

ディープインスペクションは、拡張 EC2 スキャンを使用しない限り、 Windowsまたは Mac インスタンスではサポートされていません。拡張 EC2 スキャンでは、、、Windowsおよび LinuxmacOSインスタンスをサポートする Amazon Inspector VM Scanner によって詳細検査が実行されます。

このセクションでは、Amazon Inspector がスキャンするカスタムパスを設定する方法など、Amazon EC2 インスタンスの Amazon Inspector 詳細検査を管理する方法について説明します。

詳細検査へのアクセスまたは無効化

注記

2023 年 4 月 17 日以降に Amazon Inspector をアクティブ化したアカウントの場合、Amazon EC2 スキャンの一環として詳細検査が自動的にアクティブ化されます。

詳細検査を管理するには

  1. 認証情報を使用してサインインし、Amazon Inspector コンソール (https://console.aws.amazon.com/inspector/v2/home) を開きます。

  2. ナビゲーションペインから [一般設定] を選択し、Amazon EC2 スキャン設定を選択します。

  3. [Amazon EC2 インスタンスの詳細検査] で、組織または独自のアカウントのカスタムパスを設定できます。

GetEc2DeepInspectionConfiguration API を使用して、アクティブ化のステータスをプログラムで 1 つのアカウントに対して確認できます。BatchGetMemberEc2DeepInspectionStatus API を使用して、複数のアカウントでアクティブ化のステータスをプログラムで確認できます。

2023 年 4 月 17 日より前に Amazon Inspector をアクティベートした場合は、コンソールバナーまたは UpdateEc2DeepInspectionConfiguration API を使用して詳細検査をアクティベートできます。組織において Amazon Inspector の委任管理者である場合は、BatchUpdateMemberEc2DeepInspectionStatus API を使用して、自分とメンバーアカウントに対して詳細検査をアクティブ化できます。

UpdateEc2DeepInspectionConfiguration API を使用して詳細検査を非アクティブ化できます。組織のメンバーアカウントは詳細検査を非アクティブ化することはできません。その代わりに、委任管理者が BatchUpdateMemberEc2DeepInspectionStatus API を使用してメンバーアカウントを非アクティブ化する必要があります。

Amazon Inspector 詳細検査のカスタムパス

Amazon Inspector のカスタムパスを設定して、Amazon EC2 インスタンスの詳細な検査中にスキャンできます。カスタムパスを設定すると、Amazon Inspector はデフォルトで Amazon Inspector がスキャンする場所に加えて、そのディレクトリとそのすべてのサブディレクトリのパッケージをスキャンします。

重要

拡張 EC2 スキャン (Amazon Inspector VM Scanner) を使用する場合Linux、カスタムパスは Windows、、および macOSインスタンスでサポートされます。拡張 EC2 スキャンの代わりにレガシー Amazon Inspector SSM プラグインを使用する場合、ディープインスペクションとカスタムパスはLinuxインスタンスでのみ使用できます。

すべてのアカウントで、最大 5 個のカスタムパスを定義できます。組織の委任管理者は、10 個のカスタムパスを定義できます。

Amazon Inspector は、Amazon Inspector がすべてのアカウントのデフォルトでスキャンする場所に加えて、すべてのカスタムパスをスキャンします。Linux インスタンスのデフォルトの場所は次のとおりです。

  • /usr/lib

  • /usr/lib64

  • /usr/local/lib

  • /usr/local/lib64

Windows インスタンスでは、Amazon Inspector はデフォルトでシステムドライブ上の標準オペレーティングシステムとプログラミング言語パッケージの場所をスキャンします。などの非システムドライブ上のデータベースやアプリケーションサーバーなど、カスタムまたは非標準の場所にインストールされたソフトウェアD:\は、カスタムパスとして追加した場合にのみスキャンされます。

注記

カスタムパスはローカルパスである必要があります。Amazon Inspector は、ネットワークファイルシステムマウントや Amazon S3 ファイルシステムマウントなどのマッピングされたネットワークパスをスキャンしません。

カスタムパスのフォーマット

カスタムパスは 256 文字より長くすることはできません。以下は、カスタムパスの例です。

パスの例

/home/usr1/project01

注記

インスタンスあたりのパッケージ制限は 5,000 です。パッケージインベントリの最大収集時間は 15 分です。これらの制限を避けるため、Amazon Inspector ではカスタムパスを選択することをお勧めします。

Amazon Inspector コンソールと Amazon Inspector API でのカスタムパスの設定

次の手順は、Amazon Inspector コンソールと Amazon Inspector API で Amazon Inspector 詳細検査のカスタムパスを設定する方法を示しています。カスタムパスを設定すると、Amazon Inspector は次の詳細検査にパスを含めます。

Console

  1. 委任管理者 AWS マネジメントコンソール として にサインインし、https://console.aws.amazon.com/inspector/v2/home で Amazon Inspector コンソールを開きます。

  2. AWS リージョン セレクターを使用して、Lambda 標準スキャンをアクティブ化するリージョンを選択します。

  3. ナビゲーションペインから、[全般設定]、[EC2 スキャン設定] の順に選択します。

  4. [独自のアカウントのカスタムパス] で、[編集] を選択します。

  5. テキストボックスにカスタムパスを入力します。

  6. [保存] を選択します。

API

UpdateEc2DeepInspectionConfiguration コマンドを実行します。packagePaths には、スキャンするパスの配列を指定します。

Amazon Inspector 詳細検査のカスタムスケジュール

デフォルトでは、Amazon Inspector は 6 時間ごとに Amazon EC2 インスタンスからアプリケーションインベントリを収集します。ただし、次のコマンドを実行して、Amazon Inspector がこれを実行する頻度を制御できます。

コマンド例 1: 関連付けを一覧表示して関連付け ID と現在の間隔を表示する

次のコマンドは、関連付け InvokeInspectorLinuxSsmPlugin-do-not-delete の関連付け ID を示しています。

aws ssm list-associations \
--association-filter-list "key=AssociationName,value=InvokeInspectorLinuxSsmPlugin-do-not-delete" \
--region your-Region

コマンド例 2: 関連付けを更新して新しい間隔を含める

次のコマンドは、関連付け InvokeInspectorLinuxSsmPlugin-do-not-delete の関連付け ID を使用します。schedule-expression のレートは、6 時間から新しい間隔 (12 時間など) に設定できます。

aws ssm update-association \
--association-id "your-association-ID" \
--association-name "InvokeInspectorLinuxSsmPlugin-do-not-delete" \
--schedule-expression "rate(6 hours)" \
--region your-Region
注記

ユースケースに応じて、schedule-expression のレートを 6 時間から 30 分などの間隔に設定すると、毎日の ssm インベントリ制限を超える可能性があります。これにより結果が遅延し、部分的なエラーステータスを持つ Amazon EC2 インスタンスが発生する可能性があります。

サポートされているプログラミング言語

Linux インスタンスの場合、Amazon Inspector の詳細検査により、アプリケーションプログラミング言語パッケージとオペレーティングシステムパッケージの検出結果を生成できます。

Mac および Windows インスタンスの場合、Amazon Inspector の詳細検査はオペレーティングシステムパッケージに対してのみ検出結果を生成できます。

サポートされているプログラミング言語の詳細については、「サポートされているプログラミング言語: Amazon EC2 詳細検査」を参照してください。