Existe um padrão que se repete em quase todo time de segurança que opera na nuvem. No início, alguém configura uma varredura de vulnerabilidades manual, normalmente agendada para rodar uma vez por semana ou uma vez por mês. Com o tempo, a infraestrutura cresce, novas instâncias sobem, containers são publicados, funções Lambda são atualizadas, e a varredura vai ficando cada vez mais defasada em relação ao que realmente está rodando em produção. Quando um CVE crítico é publicado, ninguém sabe ao certo quais workloads são afetados sem rodar tudo de novo.
O Amazon Inspector v2 foi redesenhado exatamente para eliminar esse ciclo. Em vez de varreduras pontuais agendadas, ele oferece análise contínua e automática dos seus workloads, sem instalar agente e sem precisar acionar nenhum processo manualmente.
O que mudou do Inspector v1 para o v2
O Inspector original, lançado em 2015, funcionava como uma ferramenta de avaliação sob demanda. Você definia um alvo, rodava uma avaliação, recebia um relatório e precisava repetir o processo periodicamente. Era útil, mas o modelo era fundamentalmente reativo.
O Inspector v2, lançado no final de 2021 e continuamente expandido desde então, mudou o modelo para contínuo. Quando você habilita o serviço em uma conta AWS, ele começa a monitorar automaticamente todos os recursos suportados e atualiza os findings em tempo real conforme novas vulnerabilidades são publicadas no banco de dados de CVEs ou conforme sua infraestrutura muda.
A outra mudança relevante é a cobertura. O v2 suporta instâncias EC2, imagens de container no Amazon ECR e funções Lambda, incluindo as dependências dos pacotes usados no código da função.
Como o Inspector v2 funciona sem agente
Para EC2, o Inspector v2 usa o AWS Systems Manager (SSM) Agent, que já está instalado por padrão nas AMIs mais recentes da AWS. Ele não instala nada adicional, apenas usa o canal do SSM para coletar inventário de software e analisar os pacotes instalados contra a base de CVEs.
Para imagens no ECR, a análise acontece automaticamente quando uma imagem é publicada no repositório, e é refeita continuamente quando novos CVEs que afetam aquela imagem são publicados, mesmo sem nenhum novo push.
Para Lambda, o Inspector analisa as dependências declaradas no pacote da função, como bibliotecas Node.js, Python ou Java, e verifica se alguma delas tem vulnerabilidades conhecidas.
Em todos os casos, você não precisa agendar nada. O serviço mantém os findings atualizados por conta própria.
Risk score e priorização
Um dos problemas práticos de qualquer scanner de vulnerabilidades é o volume de findings. É fácil gerar centenas de CVEs e deixar o time de segurança paralisado sem saber por onde começar.
O Inspector v2 introduziu um risk score próprio que combina o CVSS score tradicional com fatores de contexto específicos do ambiente AWS, como se o recurso afetado é acessível pela internet, se existe um exploit público disponível e qual é o impacto potencial para aquele tipo de workload.
O resultado é um score entre 0 e 10 que tende a ser mais útil na prática do que o CVSS puro. Um CVE com CVSS 9 em um container que nunca sai de uma subnet privada pode ter um risk score menor do que um CVE com CVSS 7 em uma instância EC2 com IP público e porta 22 aberta.
Integração com AWS Organizations e múltiplas contas
O Inspector v2 tem suporte nativo a AWS Organizations. Você pode designar uma conta como administrador delegado e habilitar o Inspector em todas as contas membros a partir de um único lugar, sem precisar acessar cada conta individualmente.
Na conta administradora, você tem visibilidade consolidada de todos os findings de todas as contas, com filtros por conta, região, tipo de recurso e severidade. Isso é especialmente relevante para times que operam com múltiplas contas organizadas pelo Control Tower, onde gerenciar segurança conta por conta seria inviável.
Os findings também são enviados automaticamente para o AWS Security Hub, criando uma visão centralizada junto com os alertas de outras ferramentas de segurança da AWS como GuardDuty e Macie.
Findings e integração com pipelines de CI/CD
Para equipes que trabalham com containers, um dos fluxos mais valiosos é integrar a análise do Inspector ao pipeline de CI/CD. Quando uma imagem é publicada no ECR, o Inspector analisa automaticamente e o resultado fica disponível via API ou EventBridge.
Você pode configurar uma regra no EventBridge que detecta quando o Inspector publica um finding de severidade CRITICAL em uma imagem recém-publicada e dispara uma ação automática, como bloquear o deploy, abrir um ticket ou notificar o canal de segurança no Slack. Tudo isso sem intervenção manual.
Esse fluxo transforma a segurança de container de uma checagem feita depois do deploy para um portão dentro do próprio pipeline, que é onde ela deveria estar.
Quando o Inspector v2 vale a pena
Vale priorizar o Inspector v2 quando:
- Você opera EC2, containers no ECR ou funções Lambda em produção e precisa de visibilidade contínua de vulnerabilidades.
- O time de segurança está sobrecarregado com volume de findings e precisa de priorização inteligente.
- Você tem múltiplas contas AWS e precisa de visibilidade consolidada sem gerenciar ferramentas separadas em cada conta.
- Existe exigência de conformidade que requer rastreabilidade de vulnerabilidades e evidência de monitoramento contínuo.
Pode não ser prioridade quando:
- Você não usa EC2, ECR ou Lambda e opera exclusivamente com serviços gerenciados onde a responsabilidade de patch é da AWS.
- O ambiente é um sandbox ou desenvolvimento sem dados sensíveis, onde o custo da análise contínua não se justifica.
Custo
O Inspector v2 cobra por instância EC2 escaneada por mês, por imagem de container analisada no ECR e por função Lambda coberta. O modelo é diferente do v1, que cobrava por avaliação executada.
Na prática, habilitar o Inspector por 15 dias gratuitamente na primeira ativação permite que você veja o volume real de findings no seu ambiente antes de comprometer com o custo mensal.
Conclusão
O Inspector v2 resolve um problema que muitas equipes têm mas raramente admitem: a varredura de vulnerabilidades que existe no papel mas na prática fica desatualizada porque exige ação manual para rodar. Ao transformar isso em um processo contínuo e automático, ele remove a dependência de disciplina operacional para manter a cobertura de segurança funcionando.
Para times que já usam Security Hub, GuardDuty e CloudTrail, o Inspector v2 se encaixa naturalmente como a camada de visibilidade de vulnerabilidades de software, completando o quadro de segurança sem exigir uma ferramenta externa.
