Criptografia em repouso

Por padrão, o Amazon Inspector armazena dados em repouso usando soluções de criptografia da AWS. O Amazon Inspector criptografa dados, como os seguintes:

Você não pode visualizar, usar ou gerenciar chaves de propriedade da AWS. No entanto, você não precisa realizar nenhuma ação nem alterar programas para proteger as chaves que criptografam os dados. Para ter mais informações, consulte AWS owned keys.

Se você desabilitar o Amazon Inspector, ele excluirá permanentemente todos os recursos que armazena ou mantém para você, como inventário coletado e descobertas de segurança.

Criptografia em repouso para código em suas descobertas

Para a digitalização de código Lambda do Amazon Inspector, o Amazon Inspector faz parceria com o CodeGuru para escanear o código em busca de vulnerabilidades. Quando uma vulnerabilidade é detectada, o CodeGuru extrai um trecho do seu código contendo a vulnerabilidade e armazena esse código até que o Amazon Inspector solicite acesso. Por padrão, o CodeGuru usa uma chave própria da AWS para criptografar o código extraído. No entanto, você pode configurar o Amazon Inspector para usar sua própria chave do AWS KMS gerenciada pelo cliente para criptografia.

O fluxo de trabalho a seguir explica como o Amazon Inspector usa a chave que você configura para criptografar o código:

Quando você desativa a digitalização de código Lambda, o CodeGuru retira a concessão e exclui a chave de dados associada.

É possível usar uma chave gerenciada pelo cliente para criptografar um volume.

Para usar a criptografia, você precisa ter uma política que permita o acesso às ações do AWS KMS, assim como uma declaração que conceda ao Amazon Inspector e ao CodeGuru permissões para usar essas ações por meio de chaves de condição.

Se estiver configurando, atualizando ou redefinindo a chave de criptografia da conta, precisará usar uma política de administrador do Amazon Inspector, como Política gerenciada da AWS: AmazonInspector2FullAccess. Você também precisará conceder as seguintes permissões aos usuários somente para leitura que precisam recuperar trechos de código de descobertas ou dados sobre a chave escolhida para criptografia.

Para o KMS, a política deve permitir executar as seguintes ações:

Depois de verificar se você tem as permissões corretas do AWS KMS na política, anexe uma declaração que permita que o Amazon Inspector e o CodeGuru usem a chave para criptografia. Anexe a seguinte declaração de política:

{
            "Sid": "allow CodeGuru Security to request a grant for a AWS KMS key",
        	"Effect": "Allow",
        	"Action": "kms:CreateGrant",
        	"Resource": "*",
        	"Condition": {
        		"ForAllValues:StringEquals": {
        			"kms:GrantOperations": [
        				"GenerateDataKey",
        				"GenerateDataKeyWithoutPlaintext",
        				"Encrypt",
        				"Decrypt",
        				"RetireGrant",
        				"DescribeKey"
        			]
        		},
        		"StringEquals": {
        			"kms:ViaService": [
        				"codeguru-security.Region.amazonaws.com"
        			]
        		}
        	}
        }, 
        {
        	"Sid": "allow Amazon Inspector and CodeGuru Security to use your AWS KMS key",
        	"Effect": "Allow",
        	"Action": [
        		"kms:Encrypt",
        		"kms:Decrypt",
        		"kms:RetireGrant",
        		"kms:DescribeKey",
        		"kms:GenerateDataKeyWithoutPlaintext"
        	],
        	"Resource": "*",
        	"Condition": {
        		"StringEquals": {
        			"kms:ViaService": [
        				"inspector2.Region.amazonaws.com",
        				"codeguru-security.Region.amazonaws.com"
        			]
        		}
        	}
        }
    

É possível usar uma chave gerenciada pelo cliente para criptografar um volume.

Para configurar a criptografia para sua conta usando uma chave gerenciada pelo cliente, você deve ser um administrador do Amazon Inspector com as permissões descritas em É possível usar uma chave gerenciada pelo cliente para criptografar um volume.. Além disso, você precisará de uma chave do AWS KMS na mesma região AWS das descobertas ou de uma chave multirregional. Você pode usar uma chave simétrica existente em sua conta ou criar uma chave simétrica gerenciada pelo cliente usando o Console de gerenciamento da AWS ou as APIs do AWS KMS. Para obter mais informações, consulte Criar chaves do AWS KMS simétricas no Guia do desenvolvedor do AWS KMS.

Usando a API do Amazon Inspector para configurar a criptografia

Para definir uma chave para criptograr a operação UpdateEncryptionKey da API do Amazon Inspector enquanto estiver conectado como administrador do Amazon Inspector. Na solicitação da API, use o campo kmsKeyId para especificar o ARN da chave do AWS KMS que deseja usar. Para scanType digitar o CODE e para resourceType digitar o AWS_LAMBDA_FUNCTION.

Você pode usar a API UpdateEncryptionKey para verificar qual chave do AWS KMS o Amazon Inspector está usando para criptografia.

Se você excluir a chave ou alterar sua política para negar acesso ao Amazon Inspector ou ao CodeGuru, você não conseguirá acessar as descobertas de vulnerabilidade de código e a digitalização de código Lambda falhará em sua conta.

Você pode usar ResetEncryptionKey para continuar usando uma chave da AWS para criptografar o código extraído como parte das descobertas do Amazon Inspector.