クラウドアセットスキャンについて

AWSのポリシーについて

yamoryで通常のクラウド連携（CSPM）とクラウドアセットスキャンを有効にする場合に必要な権限の違いは以下の通り

CSPM	クラウドアセットスキャン
ReadOnlyAccess
SecurityAudit	ReadOnlyAccess
SecurityAudit
ssm:SendCommand
ssm:CancelCommand
ec2:CreateSnapshots
ec2:CreateSnapshot
ec2:DeleteSnapshot
ec2:CreateTags
ebs:ListSnapshotBlocks
ebs:GetSnapshotBlock
kms:Decrypt

スキャン対象

Amazon Elastic Compute Cloud (EC2)

yamory_スキャン図-クラウドアセットスキャン(EC2).drawio (3).png

実行中のEC2のインスタンスにマウントされているAmazon Elastic Block Store (EBS)ボリュームのスナップショットを作成し、スナップショットをスキャンします。

EC2のクラウドアセットスキャンでは以下の情報を取得します。

有効なリージョン一覧
インスタンス一覧
スナップショット一覧
インスタンスにインストールされているミドルウェアパッケージ情報
インスタンス内のアプリライブラリのパッケージ情報
インスタンス情報
- インスタンス名
- インスタンスID
- IP アドレス
- EBSボリュームID
- OS 情報
- カーネル情報

<aside> ⚠️ インスタンスのカーネル情報を取得するためには、インスタンスにAWS Systems Manager エージェント (SSM Agent)がインストールされている必要があります。 SSM Agentがインストールされていない場合は、カーネル情報が取得できずカーネルの脆弱性情報が正確に判定できません。

</aside>