Amazon推出新的安全评估和合规服务：Amazon Inspector

在最近的Re:Invent大会上，亚马逊宣布了一项新的安全评估和合规服务，名为Amazon Inspector，目前处于预览阶段。

服务定位

亚马逊网络服务（AWS）高级副总裁Andy Jassy表示：“Inspector是一种自动化的安全评估服务，能够在AWS上部署应用程序时发现安全或合规问题。”随着组织利用云平台快速交付应用程序和服务，安全问题可能会因追求速度而被忽视。AWS首席布道师Jeff Barr认为，该服务可以“缩短代码完成与代码测试和部署之间的时间”，并补充道：“许多组织没有足够的安全人员来执行耗时的服务器和其他资源的手动检查。”

功能与配置

Amazon Inspector消除了手动合规检查，并能够自动生成审计报告。管理员在设置Inspector任务时，首先需要定义一个应用程序，并附加元数据（如生产环境、QA、UAT等）。接下来，管理员需要配置一组规则包，这些规则包可能包括：

• 应用程序安全最佳实践
• 网络安全最佳实践
• 认证最佳实践
• 操作系统安全最佳实践
• PCI DSS 3.0评估（适用于需要证明支付卡行业合规性的客户）

作为一项托管服务，亚马逊目前提供了数百条规则，并将继续由AWS安全研究团队开发更多规则，帮助客户增强现有安全团队的能力。

评估执行

管理员还需要配置评估运行的时长。在Inspector执行期间，Inspector Agent将在EC2实例上运行，监控网络、文件系统和进程活动。评估可以运行15分钟、1小时、8小时、12小时或一整天。亚马逊建议运行24小时以获得更全面的结果。

评估报告

评估完成后，管理员将收到一份Amazon Inspector Findings报告，其中列出了优先推荐的修复建议，并指出是哪个规则包识别出了问题。

竞争与比较

亚马逊并非唯一提供基于云的安全评估和合规服务的公司。微软和Nessus等公司也提供类似服务，包括PCI DSS合规评估。云咨询服务公司PowerUpCloud最近分享了他们对AWS Inspector的体验，并将其与Nessus进行了比较。他们表示：“AWS Inspector旨在实现Nessus的功能，虽然它目前仅支持Amazon Linux和Ubuntu实例，但我们对其易用性印象深刻。”

微软也在最近的AzureCon活动上推出了Azure Security Center，进入了云安全评估和合规领域。