Amazon Inspector – Häufig gestellte Fragen

Sie können Amazon Inspector mit wenigen Schritten in der AWS-Managementkonsole für Ihre gesamte Organisation oder für ein individuelles Konto aktivieren. Nach der Aktivierung entdeckt Amazon Inspector automatisch laufende Amazon-EC2-Instances, Lambda-Funktionen und Amazon-ECR-Repositorys und beginnt sofort mit dem kontinuierlichen Scannen von Workloads auf Software-Schwachstellen und unbeabsichtigten Netzwerkzugriff. Wenn Sie neu bei Amazon Inspector sind, gibt es auch eine kostenlose 15-tägige Probezeit.

Ein Amazon-Inspector-Ergebnis ist eine potenzielle Sicherheits-Schwachstelle. Zum Beispiel, wenn Amazon Inspector Software-Schwachstellen oder offene Netzwerkpfade zu Ihren Computing-Ressourcen erkennt, erstellt es Sicherheits-Ergebnisse.

Ja. Amazon Inspector ist mit AWS Organizations integriert. Sie können ein DA-Konto für Amazon Inspector zuordnen, das als primäres Administratorkonto für Amazon Inspector fungiert und Amazon Inspector zentral verwalten und konfigurieren kann. Das DA-Konto kann Ergebnisse für alle Konten, die ein Teil Ihrer AWS-Organisation sind, zentral anzeigen und verwalten.

Das AWS-Organizations-Verwaltungskonto kann ein DA-Konto für Amazon Inspector in der Amazon-Inspector-Konsole zuordnen oder mithilfe der Amazon-Inspector-APIs.

Wenn Sie Amazon Inspector zum ersten Mal starten, sind standardmäßig alle Scan-Typen aktiviert: EC2-Scannen, Lambda-Scannen und das Scannen von ECR-Container-Images. Sie haben jedoch die Möglichkeit, einzelne oder alle Typen für alle Konten Ihrer Organisation zu deaktivieren. Bestehende Benutzer können neue Funktionen in der Amazon-Inspector-Konsole oder durch den Einsatz von Amazon-Inspector-APIs aktivieren.

Nein, Sie benötigen keinen Kundendienstmitarbeiter zum Scannen. Für das Scannen von Sicherheitslücken von Amazon-EC2-Instances können Sie den AWS Systems Manager Agent (SSM Agent) für eine Kundendienstmitarbeiter-basierte Lösung verwenden. Amazon Inspector bietet auch Scannen ohne Kundendienstmitarbeiter (Vorschau), falls Sie den SSM-Kundendienstmitarbeiter nicht installiert oder konfiguriert haben. Für die Überprüfung der Netzwerkerreichbarkeit von Amazon-EC2-Instances, die Überprüfung von Container-Images auf Sicherheitslücken oder die Überprüfung von Lambda-Funktionen auf Sicherheitslücken sind keine Kundendienstmitarbeiter erforderlich. 

Um erfolgreich Amazon-EC2-Instances auf Software-Schwachstellen zu scannen, erfordert Amazon Inspector, dass diese Instances vom AWS Systems Manager und dem SSM-Agent verwaltet werden. Anleitungen zum Aktivieren und Konfigurieren von AWS Systems Manager finden Sie unter Systems-Manager-Voraussetzungen im Benutzerhandbuch für Systems Manager. Informationen über verwaltete Instances finden Sie im Abschnitt über Verwaltete Instances im AWS-Systems-Manager-Benutzerhandbuch.

Amazon Inspector unterstützt das Konfigurieren von Inklusionsregeln, um auszuwählen, welche Amazon-ECR-Repositorys gescannt werden. Inklusionsregeln können unter der Seite mit Registry-Einstellungen in der ECR-Konsole erstellt und verwaltet werden, oder mithilfe der ECR-APIs. Die ECR-Repositorys, die mit den Inklusions-Regeln übereinstimmen, werden zum Scannen konfiguriert. Der detaillierte Scan-Status von Repositorys ist in den ECR- und Amazon-Inspector-Konsolen verfügbar.

Der Bereich für die Umweltdeckung im Amazon-Inspector-Dashboard zeigt die Metriken für Konten, Amazon-EC2-Instances, Lambda-Funktionen und ECR-Repositorys an, die aktiv von Amazon Inspector gescannt werden. Jede Instance und jedes Image hat einen Scan-Status: wird gescannt oder wird nicht gescannt. Wird gescannt bedeutet, dass die Ressource kontinuierlich in nahezu Echtzeit gescannt wird. Ein Status von Wird nicht gescannt könnte bedeuten, dass der erste Scan noch nicht ausgeführt ist, dass das OS nicht unterstützt wird, oder dass etwas anderes den Scan verhindert.

Alle Scans werden automatisch anhand von Ereignissen ausgeführt. Alle Workloads werden zuerst bei der Auffindung gescannt und danach erneut gescannt.

• Für Amazon EC2 Instances: Bei SSM-Agenten-basierten Scans werden erneute Scans gestartet, wenn ein neues Softwarepaket auf einer Instanz installiert oder deinstalliert wird, wenn ein neues CVE veröffentlicht wird und nachdem ein anfälliges Paket aktualisiert wurde (um zu bestätigen, dass es keine weiteren Sicherheitslücken gibt). Bei Scans ohne Kundendienstmitarbeiter werden die Scans alle 24 Stunden durchgeführt.
• Für Amazon-ECR-Container-Images: Automatisierte Rescans werden für berechtigte Container-Images gestartet, wenn ein neues CVE, das ein Image betrifft, veröffentlicht wird. Die automatischen Rescan für Container-Images basieren auf den Rescan-Dauern, die sowohl für das Push- als auch für das Pull-Datum des Images in der Amazon-Inspector-Konsole oder den APIs konfiguriert wurden. Wenn das Push-Datum eines Images kürzer ist als die konfigurierte "Push-Datum-Rescan-Dauer" und das Image innerhalb der konfigurierten "Pull-Datum-Rescan-Dauer" gezogen wurde, wird das Container-Image weiterhin überwacht und automatische Rescan werden gestartet, wenn ein neues CVE, das ein Image betrifft, veröffentlicht wird. Die verfügbaren Konfigurationen für die Dauer des erneuten Scannens für das Push-Datum sind 90 Tage (Standard), 14 Tage, 30 Tage, 60 Tage, 180 Tage oder lebenslang. Die verfügbaren Konfigurationen für die Dauer des erneuten Scannens für das Push-Datum sind 90 Tage (Standard), 14 Tage, 30 Tage, 60 Tage, 180 Tage oder lebenslang.
• Für Lambda-Funktionen: Alle neuen Lambda-Funktionen werden zunächst bei ihrer Entdeckung bewertet und laufend neu bewertet, wenn es eine Aktualisierung der Lambda-Funktion gibt oder ein neues CVE veröffentlicht wird.

Container-Images, die sich in Amazon-ECR-Repositories befinden und für kontinuierliches Scannen konfiguriert sind, werden für die in der Amazon Inspector-Konsole oder den APIs konfigurierte Dauer gescannt. Die verfügbaren Konfigurationen für die Dauer des Rescans sind 90 Tage (Standard), 14 Tage, 30 Tage, 60 Tage, 180 Tage oder lebenslang. Die verfügbaren Konfigurationen für die Dauer des erneuten Scannens für das Push-Datum sind 90 Tage (Standard), 14 Tage, 30 Tage, 60 Tage, 180 Tage oder lebenslang.

• Wenn Amazon-Inspector-ECR-Scanning aktiviert ist, nimmt Amazon Inspector nur Images auf, die in den letzten 30 Tagen gepusht oder gezogen wurden, und scannt sie kontinuierlich für die für das Push- und Pull-Datum konfigurierte Rescan-Dauer, d. h. 90 Tage (standardmäßig), 14 Tage, 30 Tage, 60 Tage, 180 Tage oder lebenslang. Wenn das Push-Datum eines Images kürzer ist als die konfigurierte „Push-Datum-Rescan-Dauer“ UND das Image innerhalb der konfigurierten „Pull-Datum-Rescan-Dauer“ gezogen wurde, wird das Container-Image weiterhin überwacht und automatische Rescans werden gestartet, wenn ein neues CVE, das ein Image betrifft, veröffentlicht wird. Wenn Sie zum Beispiel das Amazon-Inspector-ECR-Scanning aktivieren, wird Amazon Inspector die Images, die in den letzten 30 Tagen verschoben oder gezogen wurden, zum Scannen auswählen. Wenn Sie jedoch nach der Aktivierung für die Konfigurationen „Push-Datum“ und „Pull-Datum“ eine Dauer von 180 Tagen für die erneute Überprüfung auswählen, wird Amazon Inspector die Images weiterhin überprüfen, wenn sie in den letzten 180 Tagen gepusht wurden oder mindestens einmal in den letzten 180 Tagen gezogen wurden. Wenn ein Image in den letzten 180 Tagen nicht gepusht oder abgerufen wurde, stoppt Amazon Inspector die Überwachung.
• Alle Bilder, die nach der Aktivierung des Amazon-Inspector-ECR-Scans an ECR übertragen werden, werden kontinuierlich für die Dauer gescannt, die unter „Push-Datum-Rescan-Dauer“ und „Pull-Datum-Rescan-Dauer“ eingestellt ist. Die verfügbaren Konfigurationen für die Dauer des Rescans sind 90 Tage (Standard), 14 Tage, 30 Tage, 60 Tage, 180 Tage oder lebenslang. Die verfügbaren Konfigurationen für die Dauer des erneuten Scannens für das Push-Datum sind 90 Tage (Standard), 14 Tage, 30 Tage, 60 Tage, 180 Tage oder lebenslang. Die Dauer des automatischen Rescans wird auf der Grundlage des letzten Push- oder Pull-Datums eines Container-Images berechnet. Wenn Sie z. B. nach der Aktivierung des Amazon-Inspector-ECR-Scans für die Push- und Pull-Datum-Konfigurationen eine Rescan-Dauer von 180 Tagen wählen, wird Amazon Inspector die Images weiterhin scannen, wenn sie in den letzten 180 Tagen gepusht wurden oder mindestens einmal in den letzten 180 Tagen gezogen worden sind. Wenn ein Image jedoch in den letzten 180 Tagen nicht gepusht oder gezogen wurde, hört Amazon Inspector auf, es zu überwachen.
• Wenn sich das Bild im Status „Scanberechtigung abgelaufen“ befindet, können Sie das Bild zurückziehen, um es wieder unter die Überwachung von Amazon Inspector zu bringen. Das Image wird für die eingestellte Dauer ab dem letzten Abrufdatum kontinuierlich gescannt.

• Für Amazon-EC2-Instances: Ja, eine EC2-Instance kann durch Hinzufügen eines Ressourcen-Tags vom Scannen ausgeschlossen werden. Sie können den Schlüssel 'InspectorEc2Exclusion' verwenden, und der Wert ist <optional>.
• Für Container-Images in Amazon ECR: Ja. Obwohl Sie auswählen können, welche Amazon-ECR-Repositorys zum Scannen konfiguriert werden, werden alle Images in einem Repository gescannt. Sie können Einschlussregeln erstellen, um auszuwählen, welche Repositorys gescannt werden sollen.
• Für Lambda-Funktionen: Ja, eine Lambda-Funktion kann vom Scannen ausgeschlossen werden, indem ein Ressourcen-Tag hinzugefügt wird. Verwenden Sie für den Standardscan den Schlüssel „InspectorExclusion“ und den Wert „LambdaStandardScanning“. Verwenden Sie zum Code-Scannen den Schlüssel „InspectorCodeExclusion“ und den Wert „LambdaCodeScanning“.

In einer Multi-Account-Struktur können Sie Amazon Inspector für die Prüfung auf Lambda-Schwachstellen für alle Ihre Konten in der AWS-Organization aktivieren – entweder über die Amazon-Inspector-Konsole oder mithilfe von APIs über das Delegated Administrator (DA)-Konto. Andere Mitgliederkonten können Amazon Inspector für ihr eigenes Konto aktivieren, wenn das zentrale Sicherheitsteam das nicht bereits für sie getan hat. Konten, die nicht zur AWS-Organisation gehören, können Amazon Inspector über die Amazon-Inspector-Konsole oder mithilfe von APIs für das jeweilige Konto aktivieren.

Amazon Inspector beobachtet und prüft nur die $LATEST-Version fortlaufend. Die automatisierten erneuten Scans werden nur für die neueste Version durchgeführt, sodass nur für diese neueste Version Ergebnisse generiert werden. In der Konsole können Sie die Ergebnisse aller Versionen anzeigen, indem Sie die gewünschte Version aus dem Dropdown-Menü auswählen.

Nein. Sie haben zwei Möglichkeiten: entweder das Lambda-Standard-Scannen allein zu aktivieren oder das Lambda-Standard- und Code-Scannen zusammen zu aktivieren. Das standardmäßige Lambda-Scannen bietet einen grundlegenden Sicherheitsschutz vor anfälligen Abhängigkeiten, die in der Anwendung als Lambda-Funktionen und Zuordnungsebenen verwendet werden. Das Scannen von Lambda-Code bietet einen zusätzlichen Sicherheitswert, indem es Ihren benutzerdefinierten proprietären Anwendungscode innerhalb einer Lambda-Funktion auf Code-Sicherheitslücken wie Injektionsfehler, Datenlecks, schwache Kryptografie oder eingebettete Geheimnisse scannt.

Die Standard-SSM-Inventar-Erfassungsfrequenz zu ändern kann eine Auswirkung auf die Beständigkeit des kontinuierlichen Scannens haben. Amazon Inspector nutzt den SSM Agent zum Erfassen des Anwendungsinventars, um Ergebnisse zu generieren. Wenn die Anwendungs-Inventar-Dauer von den standardmäßigen 30 Minuten erhöht wird, wird dies die Auffindung von Änderungen am Anwendungs-Inventar verzögern, und neue Ergebnisse könnten verzögert werden.

Die Amazon Inspector Risikowertung ist eine stark kontextorientierte Wertung, die für jedes Ergebnis generiert wird, indem Informationen über allgemeine Sicherheitslücken und Gefahren (CVE) mit Netzwerk-Erreichbarkeits-Ergebnissen, Auswertbarkeits-Daten und Soziale-Medien-Trends korreliert werden. Damit können Sie einfacher Ergebnisse nach Priorität ordnen und sich auf die kritischen Ergebnisse und bedrohte Ressourcen konzentrieren. In der Inspector-Score-Registerkarte im Bereich mit den Ergebnis-Details können Sie sehen, wie die Inspector-Risikobewertung berechnet wurde und welche Faktoren mitgepielt haben.

Zum Beispiel: Es wurde eine neue CVE in Ihrer Amazon-EC2-Instance identifiziert, die nur remote ausgeschöpft werden kann. Wenn die kontinuierlichen Netzwerk-Erreichbarkeits-Scans von Amazon Inspector auch entdecken, dass die Instance aus dem Internet nicht erreichbar ist, dann weiß es, dass die Schwachstelle eine geringere Bedrohung darstellt. Deshalb korreliert Amazon Inspector die Scan-Ergebnisse mit den CVE und passt die Risikobewertung nach unten an, um die Auswirkung der CVE auf die spezifische Instance genauer darzustellen.

Amazon Inspector erlaubt es Ihnen, Ergebnisse anhand der benutzerdefinierten Kriterien, die Sie definieren, zu unterdrücken. Sie können Unterdrückungsregeln für Ergebnisse, die von Ihrem Unternehmen als akzeptabel gelten, erstellen.

Sie können in der Amazon-Inspector-Konsole oder über die Amazon-Inspector-APIs mit wenigen Schritten Berichte in mehrfachen Formaten erstellen (CSV oder JSON). Sie können einen vollständigen Bericht mit allen Ergebnissen herunterladen oder einen benutzerdefinierten Bericht erstellen und herunterladen, der auf die in der Konsole eingerichteten Anzeigefilter basiert.

Nein. Sie haben zwei Möglichkeiten: entweder das Lambda-Standard-Scannen allein zu aktivieren oder das Lambda-Standard- und Code-Scannen zusammen zu aktivieren. Das standardmäßige Lambda-Scannen bietet einen grundlegenden Sicherheitsschutz vor anfälligen Abhängigkeiten, die in der Anwendung als Lambda-Funktionen und Zuordnungsebenen verwendet werden. Das Scannen von Lambda-Code bietet einen zusätzlichen Sicherheitswert, indem es Ihren benutzerdefinierten proprietären Anwendungscode innerhalb einer Lambda-Funktion auf Code-Sicherheitslücken wie Injektionsfehler, Datenlecks, schwache Kryptografie oder eingebettete Geheimnisse scannt.

Sie können SBOMs für alle mit Amazon Inspector überwachten Ressourcen in mehreren Formaten (CycloneDx oder SPDX) mit wenigen Schritten in der Amazon-Inspector-Konsole oder über die Amazon-Inspector-APIs generieren und exportieren. Sie können einen vollständigen Bericht mit SBOM für alle Ressourcen herunterladen oder SBOMs für einige ausgewählte Ressourcen basierend auf den festgelegten Ansichtsfiltern selektiv generieren und herunterladen.

Für bestehende Amazon-Inspector-Kunden, die ein einzelnes Konto verwenden, können Sie das Scannen ohne Kundendienstmitarbeiter (Vorschau) aktivieren, indem Sie die Kontoverwaltungsseite in der Amazon Inspector-Konsole aufrufen oder APIs verwenden.

Für bestehende Amazon-Inspector-Kunden, die AWS Organizations verwenden, muss Ihr delegierter Administrator entweder die gesamte Organisation vollständig auf eine Lösung ohne Kundendienstmitarbeiter migrieren oder weiterhin ausschließlich die Kundendienstmitarbeiterbasierte SSM-Lösung verwenden. Sie können die Konfiguration des Scanmodus auf der EC2-Einstellungsseite in der Konsole oder über APIs ändern.

Für neue Amazon-Inspector-Kunden werden Instances während der Vorschauphase des Scannens ohne Kundendienstmitarbeiter im Kundendienstmitarbeiter-basierten Scanmodus gescannt, wenn Sie das EC2-Scannen aktivieren. Sie können bei Bedarf in den Hybrid-Scanmodus wechseln. Im Hybrid-Scanmodus verlässt sich Amazon Inspector bei der Erfassung des Anwendungsinventars auf SSM-Kundendienstmitarbeiter, um Schwachstellenanalysen durchzuführen, und greift automatisch auf Scannen ohne Kundendienstmitarbeiter für Instances zurück, auf denen SSM-Kundendienstmitarbeiter nicht installiert oder konfiguriert sind.

Amazon Inspector löst automatisch alle 24 Stunden einen Scan für Instances aus, die für Scannen ohne Kundendienstmitarbeiter markiert sind (Vorschau). Das kontinuierliche Scanverhalten für Instances, die für SSM-Kundendienstmitarbeiter-basierte Scans markiert sind, wird sich nicht ändern. 

Sie können den Scanmodus in der Spalte „Überwachte Nutzung“ sehen, indem Sie einfach die Seiten zur Ressourcenabdeckung in der Amazon-Inspector-Konsole aufrufen oder die Amazon-Inspector-Coverage-APIs verwenden. 

Nein, in einer Einrichtung mit mehreren Konten können nur delegierte Administratoren die Konfiguration des Scanmodus für die gesamte Organisation einrichten.

Anwendungs- und Plattformteams können Amazon Inspector mithilfe speziell entwickelter Amazon Inspector-Plug-ins, die für verschiedene CI/CD-Tools wie Jenkins und TeamCity entwickelt wurden, in ihre Build-Pipelines integrieren. Diese Plugins sind auf dem Marketplace des jeweiligen CI/CD-Tools verfügbar. Sobald das Plugin installiert ist, können Sie der Pipeline einen Schritt hinzufügen, um eine Bewertung des Container-Images durchzuführen und Maßnahmen zu ergreifen, wie z. B. das Blockieren der Pipeline auf der Grundlage der Bewertungsergebnisse. Wenn bei der Bewertung Sicherheitslücken identifiziert werden, werden umsetzbare Sicherheitsergebnisse generiert. Zu diesen Ergebnissen gehören Details zu Sicherheitslücken, Empfehlungen zur Behebung und Details zur Ausnutzbarkeit. Sie werden sowohl im JSON- als auch im CSV-Format an das CI/CD-Tool zurückgegeben, das dann vom Amazon Inspector-Plugin in ein für Menschen lesbares Dashboard übersetzt oder von Teams heruntergeladen werden kann.

Nein, Sie müssen Amazon Inspector nicht aktivieren, um diese Funktion nutzen zu können, vorausgesetzt, Sie haben ein aktives AWS-Konto.

Ja. Amazon Inspector nutzt den SSM Agent zur Erfassung des Anwendungsinventars, das als Amazon-Virtual-Private-Cloud (VPC)-Endpunkte eingerichtet werden kann, um die Übertragung von Informationen über das Internet zu vermeiden.

Eine Liste von unterstützten Betriebssysteme (OS) finden Sie hier.

Eine Liste von unterstützten Programmiersprachen-Paketen finden Sie hier.

Ja. Instances, die NAT nutzen werden automatisch von Amazon Inspector unterstützt.

Ja. Weitere Informationen finden Sie unter Wie konfiguriere ich einen SSM Agent, um einen Proxy zu verwenden?

Amazon Inspector integriert mit Amazon EventBridge, um Benachrichtigungen für Ereignisse wie neue Ergebnisse, Statusänderungen eines Ergebnisses oder Erstellung einer Unterdrückungs-Regel zu liefern. Amazon Inspector lässt sich für die Anrufprotokollierung auch in AWS CloudTrail integrieren.

Ja. Sie können Amazon Inspector ausführen, um bei Bedarf gezielte Bewertungen anhand von CIS-Konfigurations-Benchmarks auf Betriebssystemebene für Amazon-EC2-Instances in Ihrer AWS-Organisation durchzuführen.

Ja. Weitere Informationen finden Sie unter Amazon-Inspector-Partner.

Ja. Sie können alle Scan-Typen (Amazon-EC2-Scannen, Scannen von Amazon-ECR-Container-Images und Scannen von Lambda-Funktionen) deaktivieren, indem Sie den Amazon-Inspector-Service deaktivieren. Alternativ lässt sich jeder Scan-Typ einzeln für ein Konto deaktivieren.

Nein. Amazon Inspector unterstützt keinen angehalteten Zustand.