一般問題
問：什麼是 Amazon Inspector？
Amazon Inspector 是一項自動化漏洞管理服務，可不斷掃描 Amazon Elastic Compute Cloud (EC2) 和 容器工作負載以尋找軟體漏洞和意外網路風險。
問：Amazon Inspector 有哪些主要優勢？
Amazon Inspector 讓您只需按一下，即可跨所有帳戶部署 Amazon Inspector，從而消除與部署和設定漏洞管理解決方案關聯的營運開銷。Amazon Inspector 的其他優勢包括：
- 自動發現和持續掃描，提供近乎即時的漏洞問題清單
- 透過設定委派管理員 (DA) 帳戶集中管理、設定和檢視所有組織帳戶的問題清單
- 每個問題清單的高度情境化和有意義的 Inspector 風險評分，可協助您設定更準確的回應優先級
- 直覺化的 Amazon Inspector 涵蓋指標儀表板，包括帳戶、EC2 執行個體，以及 Amazon Inspector 主動掃描的 Amazon Elastic Container Registry (ECR) 儲存庫
- 與 AWS Security Hub 和 Amazon EventBridge 整合以自動化工作流程和票證路由
問：Amazon Inspector 與 Amazon Inspector Classic 有何差異？
Amazon Inspector 已經過重新架構和重建，以建立新的漏洞管理服務。以下是對 Amazon Inspector Classic 的主要增強：
- 為擴展而建置：全新 Amazon Inspector 專為擴展和動態雲端環境而建置。一次可掃描的執行個體或映像數目沒有限制。
- 支援容器映像：全新 Amazon Inspector 還會掃描駐留在 Amazon ECR 中的容器映像以查找軟體漏洞。與容器相關的問題清單也會推送至 ECR 主控台。
- 支援多帳戶管理：全新 Amazon Inspector 與 AWS Organizations 整合，允許您為您的組織委派 Amazon Inspector 的管理員帳戶。此委派管理員 (DA) 帳戶是一個集中式帳戶，可整合所有問題清單並可設定所有成員帳戶。
- AWS Systems Manager Agent：使用全新 Amazon Inspector，您不再需要在所有 Amazon EC2 執行個體上安裝和維護獨立的 Amazon Inspector 代理。全新 Amazon Inspector 使用廣泛部署的 AWS Systems Manager Agent (SSM Agent)，從而消除了這種需求。
- 自動和持續掃描：全新 Amazon Inspector 會自動偵測所有新啟動的 Amazon EC2 執行個體和推送至 Amazon ECR 的合資格容器映像，並立即掃描其是否存在軟體漏洞和意外的網路風險。 發生可能引入新漏洞的事件時，則會自動重新掃描涉及的資源。啟動重新掃描資源的事件包括在 EC2 執行個體中安裝新套件、安裝修補程式，以及發佈影響資源的新常見漏洞和風險 (CVE) 時。
- Inspector 風險評分：全新 Amazon Inspector 透過將最新的 CVE 資訊與時間和環境因素 (例如網路可存取性和可利用性資訊) 相關聯，來計算 Inspector 風險評分，以新增內容來協助確定您的問題清單的優先級。
問：是否可以在同一個帳戶中同時使用 Amazon Inspector 和 Amazon Inspector Classic？
是，您可以在同一個帳戶中同時使用兩者。
問：如何從 Amazon Inspector Classic 遷移至全新 Amazon Inspector？
您只需刪除帳戶中的所有評估範本，即可停用 Amazon Inspector Classic。若要存取現有評估執行的問題清單，您可以將其下載為報告或使用 Amazon Inspector API 將其匯出。您可以在 AWS 管理主控台中按幾下，或使用全新 Amazon Inspector API 來啟用新的 Amazon Inspector。您可以在 Amazon Inspector Classic 使用者指南中找到詳細的遷移步驟。
問：Amazon ECR 的 Amazon Inspector 容器映像掃描服務與以 Amazon ECR Clair 為基礎的解決方案有何差異？
| Amazon Inspector 容器映像掃描 | 以 Amazon ECR Clair 為基礎的解決方案 | |
|---|---|---|
掃描引擎 |
Amazon Inspector 是一項 AWS 開發的漏洞管理服務，內建對駐留在 Amazon ECR 中容器映像的支援 |
Amazon ECR 提供受管開源 Clair 專案作為基本掃描解決方案 |
套件涵蓋範圍 |
識別作業系統 (OS) 套件和程式設計語言 (例如 Python、Java、Ruby 等) 套件中的漏洞 |
僅識別作業系統套件中的軟體漏洞 |
掃描頻率 |
提供持續掃描和推送掃描 |
僅提供推送掃描 |
問題清單 |
問題清單在 Amazon Inspector 和 ECR 主控台，以及在 Amazon Inspector 和 ECR 應用程式介面 (API) 和軟體開發套件 (SDK) 中可用 |
在 ECR 主控台、ECR API 和 SDK 中提供了問題清單 |
漏洞評分 |
提供來自國家漏洞資料庫 (NVD) 和供應商的內容相關 Inspector 分數和常見漏洞評分系統 (CVSS) v2 和 v3 分數 |
僅 CVSS v2 分數 |
AWS 服務整合 |
與 AWS Security Hub、AWS Organizations 和 AWS EventBridge 整合 |
不提供與其他 AWS 服務的內建整合 |
問：Amazon Inspector 的定價為何？
請參閱 Amazon Inspector 定價頁面以取得完整的定價詳情。
問：Amazon Inspector 是否提供免費試用版？
Amazon Inspector 的所有新帳戶都有資格享受 15 天免費試用，來評估服務並估算其成本。 在試用期間，所有符合條件的 Amazon EC2 執行個體和推送至 ECR 的容器映像都會被持續免費掃描。您還可以在 Amazon Inspector 主控台中檢閱估算的支出。
問：哪些區域可以使用 Amazon Inspector？
Amazon Inspector 現已於全球提供。此處列出了依區域的具體可用性。
入門
問：如何開始使用？
您可以在 AWS 管理主控台中按幾下，為整個組織或個人帳戶啟用 Amazon Inspector。啟用後，Amazon Inspector 會自動發現執行中的 Amazon EC2 執行個體和 Amazon ECR 儲存庫，並立即開始持續掃描工作負載，以查找軟體漏洞和意外網路風險。如果您是 Inspector 新使用者，還享有 15 天免費試用。
問：什麼是 Amazon Inspector 問題清單？
Amazon Inspector 問題清單是指潛在的安全漏洞。例如，當 Amazon Inspector 偵測到軟體漏洞，或開啟運算資源的網絡路徑時，則會建立安全問題清單。
問：是否可以使用 AWS Organizations 結構來管理 Amazon Inspector？
是。Amazon Inspector 與 AWS Organizations 整合。您可以為 Amazon Inspector 指派一個 DA 帳戶，充當 Amazon Inspector 的主要管理員帳戶，可以集中管理和設定 Amazon Inspector。DA 帳戶可以集中檢視和管理您的 AWS 組織所有帳戶包含的問題清單。
問：如何為 Amazon Inspector 服務委派管理員？
AWS Organizations 管理帳戶可以在 Amazon Inspector 主控台中或使用 Amazon Inspector API 為 Amazon Inspector 指派一個 DA 帳戶。
問：是否必須啟用特定的掃描類型 (即 Amazon EC2 掃描或 Amazon ECR 容器映像掃描)？
預設會啟用 EC2 執行個體和 ECR 映像掃描。然而，您可以在帳戶上停用 Amazon EC2 執行個體掃描、Amazon ECR 映像掃描或同時停用這兩者。
問：是否需要任何代理才能使用 Amazon Inspector？
這取決於您要掃描的資源。Amazon EC2 執行個體的漏洞掃描需要 AWS Systems Manager Agents (SSM Agents)。Amazon EC2 執行個體的網路可連線性和容器映像的漏洞掃描不需要代理。
問：如何安裝和設定 Amazon Systems Manager Agent？
若要成功掃描 Amazon EC2 執行個體的軟體漏洞，Amazon Inspector 要求這些執行個體由 AWS Systems Manager (SSM) 和 SSM Agent 管理。如需有關啟用和設定 AWS Systems Manager 的說明，請參閱 AWS Systems Manager 使用者指南中的 Systems Manager 先決條件。如需有關受管執行個體的資訊，請參閱 AWS Systems Manager 使用者指南中的受管執行個體部分。
問：是否可以從掃描中排除一些 Amazon EC2 執行個體？
否。一旦為 Amazon EC2 掃描啟用 Amazon Inspector，則會持續掃描在帳戶中安裝和設定了 Amazon SSM Agents 的所有 EC2 執行個體。
問：如何知道為掃描設定了哪些 Amazon ECR 儲存庫？ 而且，如何管理應設定哪些儲存庫進行掃描？
Amazon Inspector 支援設定包容性規則，以選取掃描哪些 Amazon ECR 儲存庫。可以在 ECR 主控台內的登錄檔設定頁面下，或使用 ECR API 建立並管理包容性規則。設定可比對包容性規則的 ECR 儲存庫進行掃描。ECR 和 Amazon Inspector 主控台中均提供了儲存庫的詳細掃描狀態。
使用 Amazon Inspector
問：如何知道我的資源是否正在被主動掃描？
Amazon Inspector 儀表板中的環境涵蓋範圍面板顯示 Amazon Inspector 主動掃描的帳戶、Amazon EC2 執行個體和 Amazon ECR 儲存庫的指標。每個執行個體和映像都具有掃描狀態：正在掃描或未掃描。掃描意味著資源正被近乎即時地持續掃描。未掃描狀態可能意味著尚未執行初始掃描、作業系統不受支援，或某些其他原因正在阻止掃描。
問：自動重新掃描多久執行一次？
所有掃描都根據事件自動執行。所有工作負載在發現時首先會掃描，後續會重新掃描。
- 對於 Amazon EC2 執行個體：在執行個體上安裝或解除安裝新的軟體套件、發佈新的 CVE 以及更新易受攻擊的軟體套件後 (以確認沒有其他漏洞)，將會啟動重新掃描。
- 對於 ECR 容器映像：當發佈影響映像的新 CVE 時，會針對符合條件的容器映像啟動自動重新掃描。在映像推送後的前 30 天會自動重新掃描容器鏡像。
問：使用 Amazon Inspector 持續重新掃描容器映像需要多長時間？
駐留在 Amazon ECR 儲存庫中且設定為持續掃描的容器映像，在推送至儲存庫後會掃描 30 天。
問：是否可以將我的資源排除在掃描之外？
- 對於 Amazon EC2 執行個體：否。Amazon Inspector 會自動發現帳戶內的所有 EC2 執行個體，並持續掃描所有設定了 Amazon SSM Agent 的執行個體。
- 對於駐留在 Amazon ECR 中的容器映像：是。雖然您可以選取為掃描設定哪些 ECR 儲存庫，但會掃描儲存庫中的所有映像。您可以建立包容性規則來選取應掃描哪些儲存庫。
問：將 SSM 清單收集頻率從預設的 30 分鐘變更為 12 小時對 Amazon Inspector 的持續掃描有何影響？
變更預設的 SSM 清單收集頻率可能會影響掃描的持續性。Amazon Inspector 依靠 SSM Agents 來收集應用程式清單以產生問題清單。如果應用程式清單持續時間從預設的 30 分鐘開始增加，這會延遲對應用程式清單變更的偵測，並且可能會延遲新的問題清單。
問：什麼是 Inspector 風險評分？
Inspector 風險評分是一個高度情境化的評分，透過將常見漏洞和風險 (CVE) 資訊與網路可連線性結果、可利用性資料和社交媒體趨勢相關聯，針對每個問題清單產生該評分。這讓您能夠更輕鬆地確定問題清單的優先級，並專注於最關鍵的問題清單和易受攻擊的資源。您可以在「問題清單詳細資訊」側面板中的「Inspector 評分」標籤中，查看 Inspector 風險評分的計算方式及影響分數的因素。
例如：在您的 Amazon EC2 執行個體上發現了新的 CVE，只能在遠端受到攻擊。如果 Amazon Inspector 持續網路可連線性掃描還發現無法從網際網路連線該執行個體，則它知道該漏洞不太可能受到攻擊。因此，Amazon Inspector 會將掃描結果與 CVE 相關聯，以向下調整風險評分，更準確地反映 CVE 對特定執行個體的影響。
問：如何確定問題清單的嚴重性？
| Inspector 評分 | 嚴重性 |
|---|---|
| 0 | 資訊性 |
| 0.2–3.9 | 低 |
| 4.0–6.9 | 中 |
| 7.0–8.9 | 高 |
| 9.0–10.0 | 嚴重 |
問：隱藏規則的運作方式是什麼？
Amazon Inspector 允許您根據您定義的自訂條件來隱藏問題清單。您可以針對組織認為可接受的問題清單建立隱藏規則。
問：如何匯出我的問題清單，其中包含哪些內容？
您可以在 Amazon Inspector 主控台或透過 Amazon Inspector API，只需按幾下即可產生多種格式 (CSV 或 JSON) 的報告。您可以下載包含所有問題清單的完整報告，或者根據主控台中設定的檢視篩選條件，來產生和下載自訂報告。
問：是否可以透過將 Amazon Inspector 設定為 VPC 端點，來掃描我的私有 Amazon EC2 執行個體？
是。Amazon Inspector 使用 Amazon SSM Agents 來收集應用程式清單，這可將其設定為 Amazon Virtual Private Cloud (Amazon VPC) 端點，以避免透過網際網路傳送任何資訊。
問：Amazon Inspector 支援哪些作業系統？
您可以在此處找到支援的作業系統 (OS) 清單。
問：Amazon Inspector 支援哪些程式設計語言套件進行容器鏡像掃描？
您可以在此處找到支援的程式設計語言套件清單。
問：Amazon Inspector 是否可與使用網路地址轉換 (NAT) 的執行個體搭配使用？
是。Amazon Inspector 自動支援使用 NAT 的執行個體。
問：我的執行個體使用代理。Amazon Inspector 是否可與這些執行個體搭配使用？
是。如需詳細資訊，請參閱如何設定 SSM Agent 以使用代理。
問：Amazon Inspector 可與其他用於日誌和通知的 AWS 服務整合嗎？
Amazon Inspector 可與 Amazon EventBridge 整合以提供事件通知，例如新的問題清單、問題清單狀態變更，或隱藏規則的建立。Amazon Inspector 還可與 AWS CloudTrail 整合以進行呼叫記錄。
問：Amazon Inspector 是否提供「CIS 作業系統安全設定基準」掃描？
否。雖然 Amazon Inspector 目前不支援 CIS 掃描，但將來會新增此功能。但您可以繼續使用 Amazon Inspector Classic 中提供的 CIS 掃描規則套件。
問：Amazon Inspector 是否可與 AWS 合作夥伴解決方案搭配使用？
是。如需詳細資訊，請參閱 Amazon Inspector 合作夥伴。
問：是否可以停用 Amazon Inspector？
是。您可以透過停用 Amazon Inspector 服務，來停用所有掃描類型 (EC2 掃描和 ECR 容器映像掃描)，或者，您可以為帳戶單獨停用每種掃描類型。
問：是否可以暫停 Amazon Inspector？
否。Amazon Inspector 不支援暫停狀態。
了解 Amazon Inspector 客戶