「Amazon Inspector」はAmazonのインフラ上で提供されているセキュリティ評価サービスです。AWSのインスタンスの脆弱性をチェックし、問題点を洗い出してくれます。
Amazon Inspectorの特徴
Inspectorには以下のような特徴があります。
👁️ セキュリティリスクの可視化
Inspectorは重要度の付けられたセキュリティリスクを受け取ることができます。リスクが可視化されることで対策すべきポリシーの策定、セキュリティ対策の計画、確保すべき予算や人材、責任の所在など明らかにすることができます。セキュリティ対策を進めるうえでの指標を得られます。
以上のようなCSVデータで診断結果を得られます。
🔍 稼働中でもセキュリティ評価できる
公開前のインスタンスはもちろん、稼働中のインスタンスも止めることなく脆弱性チェックを行えます。
弊社でInspectorのセキュリティ評価を実施した際に、Inspectorを起動した瞬間にインスタンスが一時的に高負荷になることを確認しました。Amazon自身は「止めることなく」と公称しており、実際ダウンタイムを設けるほどの負荷ではありませんでしたが、トラブルを避けるためPVの少ない時間帯で行うのが好ましいです。
☑️ 評価項目の設定不要
何をどう調査するかといった設定は一切不要で、インスタンスを選択するだけですぐにセキュリティ評価を行えます。評価ルールを策定する手間を省くことができます。
Inspectorが備えているセキュリティ評価ルールは公式ドキュメントに掲載されています。
しかし逆に言うとInspectorでは独自のセキュリティ評価ルールを設定することが現在できません。「この評価は無視したい」「この評価を追加したい」といったことはできません。今後ベンダーの開発したカスタムルールセットの提供も予定されており、ルールの選択ができるようになると予想されます。
💰 低コスト
初期費用無料の従量課金で、最低価格0.3USD（約33円）から初められます。
評価するインスタンスの数と回数により料金が加算されます。以下に詳しく紹介します。
Amazon Inspectorの料金
Inspectorの料金は「1エージェントに1回の評価で0.3USDから」とシンプルです。
Inspectorには「エージェント」という言葉が出ます。インスタンスに調査するためのエージェントをインストールして実行するため、基本的に「1エージェント＝1インスタンス」となります。
例えば10台のインスタンスを毎週1回（月4回）の評価を行った場合、以下のような計算になります。
10エージェント x 4回 x 0.3USD = 12USD/月
他社の脆弱性診断は数万〜数十万円とかかることも多く、Inspectorが安価だと分かります。しかし社サービスでは整理されたレポートやコンサルも入るため単純に比較してよいとは言い切れません。自社の求めるものから検討すべきと思います。
さいごに
今回は Amazon Inspector の特徴から料金についてご紹介しました。
AWSインスタンスに対してのみ使えるセキュリティ評価サービスのため、AWSを自社で管理・運用しているが、セキュリティ面は専門家ではない、脆弱性診断の手間を省きたい、という状況にInspectorはマッチしそうです。月1回の実行ならば安価かつセキュリティリスクの洗い出しにも効果的に使えると思われるため、参考にしていただけたら幸いです。
