ハンズオンラボ›Azure

Amazon Inspector で EC2 と ECR の脆弱性を検出・管理するワークフロー

Amazon Inspector を有効化し、EC2 インスタンスとコンテナイメージ(ECR)の脆弱性を自動スキャンします。検出結果(Findings)の確認・深刻度による優先順位付け・抑制ルールによる運用ノイズの削減まで、脆弱性管理の一連のワークフローを東京リージョンで体験します。

中級約 50 分Azure 実環境

ラボ概要

Amazon Inspector を有効化して、EC2 インスタンスとコンテナイメージ(ECR)の脆弱性を自動でスキャンします。検出された結果(Findings)を確認し、深刻度で優先順位を付け、抑制ルールで運用ノイズを減らすところまで、現場で行う脆弱性管理の一連の流れを体験します。

このラボでは、スキャン対象として SSM 管理下の EC2 インスタンス 1 台(clouddo-inspector-target)と 空の ECR リポジトリ(clouddo-inspector-demo)があらかじめ用意されています(ラボ開始時に自動構築済み)。あなたはこの上で Inspector を有効化し、結果を読み解きます。

学習目標

  • Amazon Inspector を有効化し、EC2 と ECR のスキャンが自動で始まる仕組みを理解する
  • EC2 スキャンの前提(インスタンスが SSM の管理下にあること)を確認する
  • 意図的に脆弱なコンテナイメージを ECR にプッシュし、プッシュ時スキャン(ScanOnPush)を発火させる
  • 検出結果(Findings)を深刻度(Critical / High など)や Inspector スコアで絞り込み、優先順位を付ける
  • 抑制ルール(Suppression rule)で不要な Findings を非表示にし、運用ノイズを減らす

ラボの構成

  1. 1対象リソースとリージョンを確認する
  2. 2SSM のマネージドノード登録を確認する
  3. 3Amazon Inspector を有効化する
  4. 4EC2 のスキャン対象状況(カバレッジ)を確認する
  5. 5脆弱なコンテナイメージを作って ECR にプッシュする
  6. 6ECR の Findings を確認する
  7. 7Findings を優先順位付けする(深刻度で絞り込む)
  8. 8抑制ルール(Suppression rule)でノイズを減らす
  9. 9動作確認
  10. 10完了チェックリスト
  11. 11後片付け

詳細な手順は、ラボ開始後に画面内のガイドとして表示されます。

構成図

構成図

参考リソース

参考リンク