新钛云服已为您服务1480天
Amazon Inspector 是一项漏洞管理服务,可持续扫描AWS漏洞的工作负载。Amazon Inspector会自动发现并扫描驻留在 Amazon 弹性容器注册表 (Amazon ECR) 中的 Amazon EC2 实例和容器映像,以查找软件漏洞和意外的网络暴露。
Inspector扫描EC2安全评估漏洞自动推送安全报告(Inspector对接KMS认证和Lambda脚本触发CloudWatch定时任务导出安全报告到S3存储)。
一、角色权限
1、EC2 IAM角色策略配置
新建AmazonSSMRoleForInstancesQuickSetup角色赋予策略权限为iam_eni_policy.json、CloudWatchAgentServerPolicy、AmazonSSMManagedInstanceCore、AmazonSSMPatchAssociation:
iam_eni_policy.json策略
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"iam:*",
"ec2:*"
],
"Resource": "*"
}
]
}
2、EC2 IAM角色赋予权限
EC2实例主机在安全版块IAM角色授权:AmazonSSMRoleForInstancesQuickSetup权限:
二、Inspector配置调式
1、Inspector服务开启EC2扫描
启用Inspector服务,扫描类型只针对EC2:
查看按漏洞或按实例展示漏洞信息,扫描结果进行分析统计:
在所有结果查询位置按照资源类型: AWS EC2 Instance进行分类:
报表信息点击Export Findings,导出操作:
筛选资源类型为EC2 Instance,选择导出格式为CSV、S3存储位置Bucket、KMS密钥信息:
2、KMS密钥信息配置
· 别名名称 S3-ECR