AWS Inspector v2でEC2の脆弱性スキャンを設計する方法｜CVE自動検出とSSMパッチ連携の実践手順

この記事のポイント

・Inspector v2はSSM Agent経由でEC2のCVEをエージェントレスでスキャンできる
・aws inspector2コマンドで有効化からスキャン結果取得まで操作できる
・CVSSスコアと「exploitability」の組み合わせで修正優先度を判断する
・SSMパッチマネージャーと組み合わせることで検出から修正まで自動化できる

# EC2上でSSM Agentのバージョンを確認する
[ec2-user@ip-10-0-10-45 ~]$ amazon-ssm-agent -version
SSM Agent version: 3.3.587.0
GoVersion: go1.21.5
OS: linux
OS Version: 4.14.355-268.575.amzn2023.x86_64

# バージョンが古い場合はアップデートする（Amazon Linux 2023）
[ec2-user@ip-10-0-10-45 ~]$ sudo dnf update amazon-ssm-agent -y

# インスタンスプロファイルのARNを確認する
aws ec2 describe-instances   --instance-ids i-0a1b2c3d4e5f11111   --query 'Reservations[0].Instances[0].IamInstanceProfile.Arn'

# 出力例（ロール名にSSMが含まれていることを確認する）
"arn:aws:iam::123456789012:instance-profile/AmazonSSMRoleForEC2"

# Inspector v2を有効化する（EC2とECRを対象にする場合）
aws inspector2 enable   --resource-types EC2 ECR

# 出力例（statusがACTIVATEDになれば有効化完了）
{
    "accounts": [
        {
            "accountId": "123456789012",
            "resourceStatus": {
                "ec2": "ACTIVATED",
                "ecr": "ACTIVATED",
                "lambda": "DISABLING"
            },
            "status": "ACTIVATED"
        }
    ],
    "failedAccounts": []
}

# 有効化の状態を確認する
aws inspector2 batch-get-account-status   --account-ids 123456789012   --query 'accounts[0].resourceState'

# 出力例
{
    "ec2": {
        "status": "ENABLED",
        "statusCode": "ENABLING"
    },
    "ecr": {
        "status": "ENABLED",
        "statusCode": "ENABLING"
    }
}

# Inspector v2のスキャン対象EC2を一覧表示する
aws inspector2 list-coverage   --filter-criteria '{"resourceType":[{"comparison":"EQUALS","value":"AWS_EC2_INSTANCE"}]}'   --query 'coveredResources[*].[resourceId,scanStatus.statusCode,resourceMetadata.ec2.platform]'   --output table

# 出力例
------------------------------------------------------------
|                      ListCoverage                        |
+-----------------------+----------+---------------------+
|  i-0a1b2c3d4e5f11111  |  ACTIVE  |  AMAZON_LINUX_2023  |
|  i-0a1b2c3d4e5f22222  |  ACTIVE  |  AMAZON_LINUX_2023  |
|  i-0a1b2c3d4e5f33333  |  INACTIVE|  AMAZON_LINUX_2     |
+-----------------------+----------+---------------------+

# INACTIVEの場合は詳細な理由を確認する
aws inspector2 list-coverage   --filter-criteria '{"resourceType":[{"comparison":"EQUALS","value":"AWS_EC2_INSTANCE"}]}'   --query 'coveredResources[?scanStatus.statusCode==`INACTIVE`].[resourceId,scanStatus.reason]'   --output table

# 深刻度CRITICALのEC2脆弱性を取得する
aws inspector2 list-findings   --filter-criteria '{"severity":[{"comparison":"EQUALS","value":"CRITICAL"}],"resourceType":[{"comparison":"EQUALS","value":"AWS_EC2_INSTANCE"}]}'   --query 'findings[*].[title,inspectorScore,packageVulnerabilityDetails.cvss[0].score,resourcesAffected[0].ec2Instance.instanceId]'   --output table   --max-results 10

# 出力例
------------------------------------------------------------------------------------
|                              ListFindings                                        |
+-------------------------------------------+--------+-------+---------------------+
|  CVE-2023-38545 in curl-minimal            |  9.8   |  9.8  |  i-0a1b2c111111     |
|  CVE-2024-3094 in xz-utils                 |  10.0  | 10.0  |  i-0a1b2c111111     |
|  CVE-2023-44487 in libnghttp2              |  9.8   |  7.5  |  i-0a1b2c222222     |
+-------------------------------------------+--------+-------+---------------------+

# 実際に攻撃に悪用されているCVEを特定する（exploitAvailable=YES）
aws inspector2 list-findings   --filter-criteria '{"exploitAvailable":[{"comparison":"EQUALS","value":"YES"}],"resourceType":[{"comparison":"EQUALS","value":"AWS_EC2_INSTANCE"}]}'   --query 'findings[*].[title,severity,inspectorScore,packageVulnerabilityDetails.vulnerablePackages[0].name]'   --output table   --max-results 5

# Amazon Linux 2023用のデフォルトパッチベースラインを確認する
aws ssm describe-default-patch-baseline   --operating-system AMAZON_LINUX_2023

# 出力例（抜粋）
{
    "BaselineId": "pb-0c3b6a8a6a9a1b2c3",
    "Name": "AWS-AmazonLinux2023DefaultPatchBaseline",
    "OperatingSystem": "AMAZON_LINUX_2023",
    "ApprovalRules": {
        "PatchRules": [
            {
                "PatchFilterGroup": {
                    "PatchFilters": [
                        {"Key": "CLASSIFICATION", "Values": ["Security"]},
                        {"Key": "SEVERITY", "Values": ["Critical", "Important"]}
                    ]
                },
                "ApproveAfterDays": 0
            }
        ]
    }
}

# 特定のインスタンスにパッチを適用する（Run Command）
aws ssm send-command   --document-name "AWS-RunPatchBaseline"   --document-version "1"   --targets '[{"Key":"InstanceIds","Values":["i-0a1b2c3d4e5f11111","i-0a1b2c3d4e5f22222"]}]'   --parameters '{"Operation":["Install"]}'   --timeout-seconds 600

# コマンド実行状況を確認する（コマンドIDは前のコマンドの出力から取得）
aws ssm list-command-invocations   --command-id "a1b2c3d4-e5f6-7890-abcd-ef1234567890"   --details   --query 'CommandInvocations[*].[InstanceId,StatusDetails]'   --output table

# 出力例（Successになっていればパッチ適用完了）
----------------------------------------
|      ListCommandInvocations          |
+-----------------------+-----------+
|  i-0a1b2c3d4e5f11111  |  Success  |
|  i-0a1b2c3d4e5f22222  |  Success  |
+-----------------------+-----------+

# マルチAZの全インスタンスに一括適用する場合はタグを使う
aws ssm send-command   --document-name "AWS-RunPatchBaseline"   --targets '[{"Key":"tag:Environment","Values":["production"]}]'   --parameters '{"Operation":["Install"]}'   --timeout-seconds 600

# カバレッジがINACTIVEなEC2の理由コードを確認する
aws inspector2 list-coverage   --filter-criteria '{"resourceType":[{"comparison":"EQUALS","value":"AWS_EC2_INSTANCE"}]}'   --query 'coveredResources[?scanStatus.statusCode==`INACTIVE`].[resourceId,scanStatus.reason]'   --output table

# 出力例（reasonを見て対処する）
---------------------------------------------------
|                  ListCoverage                   |
+-----------------------+-------------------------+
|  i-0a1b2c3d4e5f33333  |  SSM_UNMANAGED          |
+-----------------------+-------------------------+
# SSM_UNMANAGED: インスタンスプロファイル未設定またはSSM Agentが停止中
# UNSUPPORTED_OS: Inspector v2が対応していないOSバージョン（Amazon Linux 1など）