Amazon Inspector による EC2 AMI の脆弱性スキャン機能が提供開始

Amazon Inspector の脆弱性スキャン対象が EC2 Amazon Machine Images (AMIs) に拡張- EC2 インスタンスを起動したり追加ソフトウェアをインストールすることなく、AMI 内のソフトウェア脆弱性を特定可能。

• 継続的評価による AMI カタログの監視、または EC2 コンソールからのオンデマンドスキャンが可能。
• AWS Organizations を利用した組織全体での有効化、AWS Security Hub への結果集約、EC2 Image Builder パイプラインへの統合が可能。
• スキャン結果に基づき、「Allowed AMIs」設定と宣言的ポリシーを用いて、セキュリティ基準を満たさない AMI の使用を組織全体で制限可能。

🚀 EC2 デプロイ前の「シフトレフト」が容易に

これまでは、AMI の脆弱性を確認するためには、一度インスタンスを起動してエージェントを動かす必要があり、「脆弱な AMI からインスタンスを起動してしまう」というリスクを抱えていました。今回のアップデートにより、AMI 段階でのスキャンが可能になり、デプロイパイプラインのより早い段階で問題を検知・修正できる、真の「シフトレフト」が実現します。

📍 日本国内リージョンの状況

最新のリージョン状況を確認したところ、東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3) の両方で利用可能です。国内の運用環境でもすぐに導入検討が可能です。

🛠️ 運用上のアドバイス

• EC2 Image Builder との組み合わせ: AMI を自動生成している場合は、EC2 Image Builder のパイプラインにスキャンを組み込むことで、セキュリティ基準を満たさない AMI の配布を自動的にブロックする仕組みを構築できます。
• ガバナンスの強化: AWS Organizations を利用している場合、Allowed AMIs 設定と Declarative Policies を活用することで、組織全体で「許可された安全な AMI しか使えない」という強力なガードレールを敷くことができます。
• コスト管理: 継続的なスキャンが有効な場合、スキャン対象の AMI 数に応じてコストが発生するため、まずは既存の AMI カタログの規模を確認しておくことをおすすめします。

✅ 次のアクション

1. Amazon Inspector のコンソールを開き、AMI スキャンが有効になっているか確認する。
2. EC2 Image Builder を利用している場合は、パイプラインの統合設定を検討する。
3. Security Hub と連携して、脆弱性情報の集約管理フローを設計する。

参照元: Amazon Inspector User Guide (https://://aws.amazon.com/inspector/)