あるオンライン小売企業のセキュリティチームは、数百台の EC2 インスタンスと Amazon ECR に保存された多数のコンテナイメージについて、既知の脆弱性（CVE）とネットワーク到達可能性の問題を継続的に検出する必要

Question

あるオンライン小売企業のセキュリティチームは、数百台の EC2 インスタンスと Amazon ECR に保存された多数のコンテナイメージについて、既知の脆弱性（CVE）とネットワーク到達可能性の問題を継続的に検出する必要があります。新しい CVE が公開された際に自動で再評価され、検出結果を一元的に確認できる仕組みを、最小の運用負荷で構築したいと考えています。どのサービスを使用すべきですか。

Accepted Answer

正解: Amazon Inspector を有効化し、EC2 と ECR イメージを継続的にスキャンして CVE を自動評価する。Amazon Inspector は EC2 インスタンス・Amazon ECR コンテナイメージ・Lambda 関数を対象に、既知の脆弱性（CVE）とネットワーク到達可能性を継続的に自動評価するマネージドサービスです。SSM エージェント経由でのスキャンにより、新しい CVE が公表されると対象を自動で再スキャンします。検出結果はリスクスコア付きで一元管理でき、Security Hub にも集約できるため、最小の運用負荷で要件を満たせます。

選択肢Aの Amazon GuardDuty は脅威検出サービスで、悪意ある通信やアカウント侵害の兆候を検知しますが、CVE ベースの脆弱性評価は行いません。
選択肢Bの AWS Systems Manager Patch Manager はパッチ適用と適用状況の可視化が目的で、CVE スキャンやコンテナイメージの脆弱性評価は行いません。
選択肢Dの AWS Trusted Advisor はベストプラクティスチェックが中心で、OS/パッケージ単位の CVE 継続スキャンやコンテナイメージスキャンには対応していません。

Answer

Amazon GuardDuty を有効化し、脅威インテリジェンスに基づいて EC2 とコンテナの不審な挙動を継続的に監視する — Amazon GuardDuty は VPC Flow Logs や CloudTrail などから脅威や不審な挙動を検出するサービスであり、OS やコンテナの CVE ベースの脆弱性評価は行わないため、この要件には適しません。

Answer

AWS Systems Manager Patch Manager でパッチベースラインを定義し、インスタンスのパッチ適用状況をコンプライアンスレポートとして収集する — AWS Systems Manager Patch Manager はパッチベースラインに基づく適用と適用状況の可視化を担うもので、公表された CVE のスキャンやコンテナイメージの脆弱性評価は機能に含まれないため不適切です。

Answer

AWS Trusted Advisor のセキュリティチェックを実行し、脆弱性のあるリソースを一覧化して定期的に確認する — AWS Trusted Advisor はコストやセキュリティのベストプラクティスを点検するツールで、OS/パッケージ単位の継続的な CVE スキャンやコンテナイメージスキャンには対応しておらず要件を満たせません。

解説

解説