Amazon Inspector

Amazon Inspector es un servicio de gestión de vulnerabilidades que escanea continuamente tus cargas de trabajo en AWS en busca de vulnerabilidades de software y exposición de red no deseada.

Evolución del servicio:

• Inspector Classic (v1): Requería agentes, escaneos manuales
• Inspector (v2, actual): Sin agentes, escaneo continuo, más servicios

Qué escanea:

• Instancias EC2
• Imágenes de contenedores en ECR
• Funciones Lambda

Qué detecta:

• Vulnerabilidades de software (CVEs)
• Exposición de red
• Secretos hardcodeados en código Lambda

Activación simple:

1. Habilitar Inspector (un clic)
2. Inspector descubre recursos automáticamente
3. Escaneo continuo sin intervención
4. Findings aparecen en la consola

Sin agentes:

Para EC2: Inspector usa AWS Systems Manager Agent (SSM Agent) que ya está instalado en la mayoría de AMIs.

Para ECR: Inspector escanea imágenes cuando se suben y re-escanea cuando se descubren nuevas vulnerabilidades.

Para Lambda: Inspector analiza el código y dependencias automáticamente.

Escaneo continuo:

Inspector no es un escaneo único. Re-evalúa cuando:

• Se descubre nueva vulnerabilidad (nuevo CVE publicado)
• Se instala nuevo software en una instancia
• Se sube nueva imagen a ECR
• Se actualiza código Lambda

Vulnerabilidades de Paquetes

Qué detecta: Software con vulnerabilidades conocidas (CVEs).

Ejemplo:

Vulnerabilidad: CVE-2023-12345
Paquete: openssl 1.1.1k
Severidad: Critical (9.8)
Solución: Actualizar a openssl 1.1.1m
Afecta: i-1234567890abcdef0 (EC2)

Vulnerabilidades de Red (EC2)

Qué detecta: Puertos expuestos a Internet que no deberían estarlo.

Ejemplo:

Finding: Puerto 22 (SSH) accesible desde Internet
Instancia: i-1234567890abcdef0
Security Group: sg-abc123
Recomendación: Limitar acceso a IP específicas

Secretos en Código (Lambda)

Qué detecta: Credenciales hardcodeadas en código Lambda.

Ejemplo:

Finding: AWS Access Key detectada en código
Función: mi-funcion-lambda
Línea: 42
Recomendación: Usar Secrets Manager o variables de entorno

Niveles de Severidad

Amazon Inspector Score

Inspector calcula un Inspector Score que ajusta la severidad CVSS según:

• ¿El recurso tiene IP pública?
• ¿El puerto está realmente abierto?
• ¿Hay exploits conocidos?

Ejemplo:

• CVE con CVSS 7.5 (High)
• Pero la instancia no tiene IP pública
• Inspector Score ajustado: 5.5 (Medium)

Dashboard de Riesgos

Inspector proporciona un dashboard que muestra:

• Cobertura de escaneo
• Findings por severidad
• Recursos más afectados
• Tendencias en el tiempo

AWS Security Hub

Inspector envía findings a Security Hub:

• Vista centralizada de seguridad
• Correlación con otros servicios
• Compliance dashboards

Amazon EventBridge

Automatiza respuestas a findings:

[Inspector Finding] → [EventBridge] → [Lambda] → [Slack/JIRA/etc]

Ejemplos de automatización:

• Notificar a Slack cuando hay finding Critical
• Crear ticket en JIRA para High
• Etiquetar instancias afectadas

Amazon ECR

Para contenedores:

• Escanea automáticamente al hacer push
• Re-escanea cuando hay nuevos CVEs
• Bloquea despliegue de imágenes vulnerables

S3 para Exportación

Exporta findings a S3 para:

• Análisis con Athena
• Reportes personalizados
• Retención a largo plazo

Comparación de servicios de seguridad:

Ejemplo de uso conjunto:

1. Inspector: "La instancia tiene OpenSSL vulnerable"
2. GuardDuty: "La instancia se comunica con IP maliciosa"
3. Conclusión: Instancia probablemente comprometida
4. Security Hub: Muestra ambos findings correlacionados

Puntos clave:

1. Escaneo de vulnerabilidades: CVEs en software
2. Recursos: EC2, Lambda, contenedores ECR
3. Sin agentes: Usa SSM Agent existente para EC2
4. Continuo: Re-escanea cuando hay nuevas vulnerabilidades
5. Integración: Security Hub, EventBridge, ECR

Diferencias importantes:

Inspector vs GuardDuty:

• Inspector: Vulnerabilidades en software (proactivo)
• GuardDuty: Amenazas activas (reactivo)

Inspector vs Config:

• Inspector: Vulnerabilidades de software
• Config: Configuraciones de recursos AWS

Preguntas típicas:

"¿Qué servicio escanea instancias EC2 en busca de vulnerabilidades de software?" → Amazon Inspector

"¿Cómo detectar CVEs en imágenes de contenedores?" → Amazon Inspector con escaneo de ECR

"¿Qué servicio detecta secretos hardcodeados en funciones Lambda?" → Amazon Inspector

"¿Qué servicio usa para encontrar paquetes desactualizados con vulnerabilidades conocidas?" → Amazon Inspector