Scannez les images pour détecter les vulnérabilités du système d'exploitation dans Amazon ECR

Le scan de base d'Amazon ECR utilise une technologie AWS native pour scanner les images de vos conteneurs afin de détecter les vulnérabilités logicielles. L'analyse de base permet de détecter les vulnérabilités sur un large éventail de systèmes d'exploitation courants, en fournissant plus de 50 flux de données afin de détecter les vulnérabilités et les expositions courantes (CVEs). Ces sources incluent les avis de sécurité des fournisseurs, les flux de données, les flux de renseignements sur les menaces, ainsi que la base de données nationale sur les vulnérabilités (NVD) et le MITRE.

La numérisation de base Amazon ECR est prise en charge dans toutes les régions répertoriées dans la section AWS Services par région.

Amazon ECR utilise la gravité d’un CVE de la source de distribution en amont si disponible. Sinon, le score CVSS (Common Vulnerability Scoring System) est utilisé. Le score CVSS peut être utilisé pour obtenir l'évaluation de gravité de la vulnérabilité NVD. Pour en savoir plus, consultez NVD Vulnerability Gravity Ratings.

L'analyse de base d'Amazon ECR prend en charge les filtres pour spécifier les référentiels à analyser en mode push. Tous les référentiels qui ne correspondent pas à un filtre de numérisation en mode push sont définis sur la fréquence d'analyse manuelle, ce qui signifie que vous devez démarrer l'analyse manuellement. Une image peut être numérisée une fois toutes les 24 heures. Les 24 heures incluent le scan initial sur push, si configuré, et tous les scans manuels. Avec la numérisation de base, vous pouvez numériser jusqu'à 100 000 images par 24 heures dans un registre donné.

Vous pouvez récupérer les derniers résultats de numérisation d'image achevée pour chaque image. Lorsqu'une numérisation d'image est terminée, Amazon ECR envoie un événement à Amazon EventBridge. Pour de plus amples informations, veuillez consulter Événements Amazon ECR et EventBridge.

Support du système d'exploitation pour la numérisation de base

Pour des raisons de sécurité et pour garantir une couverture continue, nous vous recommandons de continuer à utiliser les versions prises en charge d'un système d'exploitation. Conformément à la politique du fournisseur, les systèmes d'exploitation abandonnés ne sont plus mis à jour avec des correctifs et, dans de nombreux cas, de nouveaux avis de sécurité ne sont plus publiés à leur sujet. En outre, certains fournisseurs suppriment les alertes de sécurité et les détections existantes de leurs flux lorsqu'un système d'exploitation concerné atteint la fin du support standard. Lorsqu'une distribution perd le support de son fournisseur, Amazon ECR peut ne plus prendre en charge l'analyse des vulnérabilités. Tous les résultats générés par Amazon ECR concernant un système d'exploitation abandonné doivent être utilisés à titre informatif uniquement. Pour obtenir la liste complète des systèmes d'exploitation et des versions pris en charge, consultez la section Systèmes d'exploitation pris en charge - Amazon Inspector scan dans le guide de l'utilisateur d'Amazon Inspector.