如何在 AWS Inspector 上抑制旧/被取代的 AWS ECR 映像的发现结果？

Question

我们正在使用 AWS Inspector 扫描 AWS ECR 存储库上的漏洞。当某个存储库上有新图像时，我们希望抑制过去/被取代的图像中的发现，仅保留每个存储库最新图像中的活动发现，因此我们只能看到实际上尚未修复的问题。

我不能只按年龄过滤掉，因为对于某些存储库，我们可能会在一段时间内没有生成新图像。

我尝试在 AWS Inspector 上创建抑制规则，但找不到合适的过滤器来达到所需的效果。如果我尝试抑制所有没有

latest

图像标签的图像，它会抑制所有包含

latest

标签的图像。

如何抑制旧 ECR 图像中的发现？

Answer 1

我目前想到的最好方法是基于标记约定。它并不是严格意义上的“抑制”，但它可以让您获得经过过滤的视图。

对于当前配置为在系统中使用的每个图像，添加一个标签。像

inventory-{date}

这样的东西就可以解决问题。您可以每天执行此操作，也可以选择对您所寻求的精度水平有意义的任何时间间隔。

然后，您可以在 Inspector 控制台以及 Inspector 生成的导出/报告中使用基于标签的过滤。

相关文档：

• 如果您通过 ECS 或 EKS 运行容器，则可以使用一些 API 来提供“当前配置为在您的系统中使用”的一组映像。例如，对于 ECS，您需要使用 ECS 的

  ListTasks

  （除其他外，要获取所有图像）：https://docs.aws.amazon.com/cli/latest/reference/ecs/列表任务.html
• ECR 支持重新标记图像（使您能够添加“库存”标签”）：https://docs.aws.amazon.com/AmazonECR/latest/userguide/image-retag.html
• Inspector 对

  ecrImageTags

  方法的

  CreateFindingsReport

  过滤器：https://docs.aws.amazon.com/cli/latest/reference/inspector2/create-findings-report.html