Amazon Inspector

自動發現 AWS 資源弱點的服務。

Amazon Inspector 是偵測 EC2、容器映像、Lambda 等弱點的安全評估服務。

• EC2 弱點診斷
• ECR 映像掃描
• 確認 Lambda 相依性

• 為弱點管理服務
• 用於安全評估
• 與 GuardDuty 的偵測對象不同

• 容器維運須與 ECR 掃描一併考量
• 可將偵測結果彙總至 Security Hub
• 需建立決定修正優先順序的維運流程

Amazon Inspector 是針對 Amazon EC2 執行個體、儲存於 Amazon ECR 的容器映像、AWS Lambda 函式持續偵測漏洞與非預期網路可達性的託管型漏洞管理服務。啟用服務後會自動偵測對象資源,並基於 CVE 資料庫持續執行軟體漏洞偵測。偵測結果會以嚴重性(Critical / High / Medium / Low / Informational)呈現,可透過 Security Hub 或 Amazon EventBridge 連動至通知與自動回應。 在 ECR 容器映像掃描方面,除了映像推送時的單次掃描外,還可對已註冊映像進行持續掃描,當有新 CVE 公開時也能回溯掌握影響範圍。在 Lambda 函式的掃描方面,函式程式碼與相依函式庫皆為偵測對象。EC2 的掃描需要與 SSM 代理程式連動,未安裝代理程式的執行個體則不在掃描範圍內。 在考試方面,經常被問到與 GuardDuty 的角色差異。GuardDuty 是「偵測環境的可疑操作、通訊」,而 Inspector 則是「偵測資源本身的漏洞」,這是兩者的差異。在容器運維方面,也會考 ECR 的標準掃描(Basic scanning)與 Inspector 的進階掃描(Enhanced scanning)的區分使用。費用為依掃描對象資源數量與掃描頻率計算的依用量計費,MVP 階段通常會在確認費用效益後再判斷導入與否。

• 什麼是 Amazon Inspector (AWS 官方文件)
• Amazon Inspector (AWS 官方)

最後更新日: 2026-06-07