c2.9 インフラストラクチャの脆弱性を管理する
Amazon Inspector でインスタンスとコンテナイメージの脆弱性や OS ハードニングの不備を継続的にスキャンし、Systems Manager Patch Manager でパッチを適用します。エージェントベースのスキャンは、オンプレミスで行うネットワークスイープよりクラウドに適しています。
実装ガイダンス
Amazon Inspector で継続的にスキャンする
Amazon Inspector は、多くのインスタンスに既に導入されている AWS Systems Manager エージェントを使って継続的な脆弱性管理を提供します。従来のネットワークスイープは、リソースが短命でアカウントや VPC をまたいで分割されるクラウドでは扱いにくいため、エージェントベースのスキャンが推奨されます。ほぼリアルタイムで報告されるためです。Inspector は、仮想アプライアンスなどエージェントを導入できないインスタンス向けに、EBS ボリュームのエージェントレス（ハイブリッド）スキャンも提供します。
見つけたものにパッチを当てる
AWS Systems Manager Patch Manager または既存のパッチ管理ツールで是正します。Patch Manager による AWS リソースへのパッチ適用は無料です。脆弱性評価のパートナーソリューションも AWS Marketplace で利用できます。
アプリのテストで止めない
多くの組織はアプリケーションのセキュリティテストに投資する一方、それらを稼働させるインフラをおろそかにします。パッチ未適用の OS やミドルウェアは、特に Web アプリを提供するインターネット公開ホスト上では、直接の侵入口になります。
関連
これを継続的に担う体制づくりは脆弱性管理チームの構築で扱います。
全体像
How to validate
- インフラの脆弱性を継続的に特定するソリューションはありますか？
- チームが脆弱性にパッチを当てており、バックログは時間とともに減っていますか？
- インスタンスとコンテナイメージの両方をスキャンしていますか？
Threats addressed
- オペレーティングシステムやミドルウェアの脆弱性は攻撃者の侵入口になります。特に Web アプリを提供するインターネット公開ホストで顕著です。
- チームはアプリケーションのセキュリティテストを行う一方、それらを稼働させるインフラの基本的な脆弱性管理を欠いていることがよくあります。
AWS サービス
Amazon Inspector 
AWS Systems Manager 料金
Amazon Inspector の料金を参照してください。
Framework mappings
AWS CAF
Well-Architected
- waf-infrastructure-protection Infrastructure protection
- waf-application-security Application security