脆弱性管理とパッチ運用 InspectorとPatch Managerで継続的に守る

SCS-C02では「脆弱性をどう継続的に見つけ、どう安全に塞ぐか」という運用の流れが問われます。単発のスキャンではなく、検出から修正、報告までを自動化する設計が求められます。

覚え方は「見つける・直す・示す」の3つの観点です。継続検出はInspector、修正の適用はPatch Manager、監査への説明はSecurity HubとConfig。この3点で全体像を掴みます。

見つける：Amazon Inspector

Inspectorは有効化するだけでEC2、Amazon ECRのコンテナイメージ、Lambda関数を継続的にスキャンし、CVEに基づく脆弱性を検出します。旧世代と違い定期実行の設定は不要で、新しいインスタンスが起動した瞬間や、イメージがプッシュされた瞬間に自動でスキャンされます。SSM Agentを通じて情報を収集するため、対象がSystems Managerの管理下にあることが前提です。

結果には、ネットワーク到達性を加味したInspectorスコアが付きます。同じCVEでも、インターネットから到達できるインスタンスの方が優先度が高く出るため、「限られた工数でどこから直すか」の判断材料になります。

直す：Systems Manager Patch Manager

パッチベースラインで「重要度がCriticalのセキュリティ更新は公開7日後に自動承認」といったルールを定義し、パッチグループとメンテナンスウィンドウで適用タイミングを制御します。本番環境は業務時間外、開発環境は即時、という段階適用が定番の構成です。スキャンのみのモードもあり、まず適用状況を可視化してから展開できます。

示す：集約と自動対応

Inspectorの検出結果はSecurity Hubへ自動連携され、Security Hubの結果はEventBridgeでイベント化できます。重大な検出が出たらLambdaやSSM Automationを起動し、該当インスタンスをセキュリティグループで隔離してからパッチを当てる、といった自動対応が組めます。監査には、AWS Configの記録とSecurity Hubのコンプライアンススコアを証跡として示すのが定石です。

チェックリスト

• Inspectorの対象リソースと継続スキャンの仕組みを説明できる
• Inspectorスコアが到達性を加味することを理解している
• パッチベースラインと自動承認ルールを設計できる
• メンテナンスウィンドウで環境別に適用時期を分けられる
• Security HubとEventBridgeによる自動対応の流れを説明できる

まとめ

脆弱性管理は「見つける・直す・示す」を自動で回す設計が要点です。検出と修正が別サービスである点を必ず押さえてください。仕上げに クイズ で知識を定着させ、出題範囲の最新版は AWS認定 公式ページ で必ず確認してください。