Amazon Inspector の検出結果の重要度レベルについて

Amazon Inspector が検出結果を生成すると、その検出結果に重要度の評価が割り当てられます。重要度の評価は、検出結果の評価と優先順位付けに役立ちます。検出結果の重要度評価は、数値スコアと、[参考]、[低]、[中]、[高]、[緊急] というレベルに対応しています。Amazon Inspector は、検出結果タイプに基づいて検出結果の重要度の評価を決定します。このセクションでは、Amazon Inspector が各検出結果タイプの重要度の評価を決定する方法について説明します。

ソフトウェアパッケージの脆弱性の重要度

Amazon Inspector は、ソフトウェアパッケージの脆弱性の重要度スコアの基礎として NVD/CVSS スコアを使用します。NVD/CVSS スコアは、NVD によって公開され、CVSS によって定義される脆弱性重要度スコアです。NVD/CVSS スコアは、攻撃の複雑さ、悪用コードの成熟度、必要な権限などのセキュリティメトリクスで構成されています。Amazon Inspector は、脆弱性の重要度を反映した 1 から 10 までの数値スコアを生成します。Amazon Inspector では、これを基本スコアとして分類しています。これは、脆弱性の重要度がその固有の特性に従って反映され、時間が経過しても変化しないためです。このスコアは、デプロイされたさまざまな環境における最悪の場合の妥当な影響も想定しています。CVSS v3 標準では、CVSS スコアを以下の重要度評価にマッピングしています。

パッケージ脆弱性の検出結果は、重要度が「未選別」である場合もあります。つまり、ベンダーは検出された脆弱性の脆弱性スコアをまだ設定していないということです。この場合、検出結果の参照 URL を使用して脆弱性を調査し、それに応じて対応することをおすすめします。

パッケージ脆弱性の検出結果には、検出結果の詳細の一部として、以下のスコアと関連するスコアリングベクトルが含まれます。

コード脆弱性の重要度

コードの脆弱性検出結果では、Amazon Inspector は検出結果を生成した Amazon CodeGuru ディテクターによって定義された重要度レベルを使用します。各ディテクターには CVSS v3 スコアリングシステムを使用して重要度が割り当てられます。CodeGuru が使用する重要度の説明については、「CodeGuru ガイド」の「重要度の定義」を参照してください。重要度別のディテクターのリストについては、以下のサポートされているプログラミング言語から選択してください。

ネットワーク到達可能性の重要度

Amazon Inspector は、公開されているサービス、ポート、プロトコル、およびオープンパスのタイプに基づいて、ネットワーク到達可能性の脆弱性の重要度を判断します。次の表では、これらの重要度評価を定義しています。「オープンパス評価」列の値は、仮想ゲートウェイ、ピア接続 VPC、AWS Direct Connect ネットワークからのオープンパスを表しています。公開されている他のすべてのサービス、ポート、プロトコルには「情報重要度」という評価があります。