很多人上线网站、API、甚至整套业务系统时，
服务器一切正常，但谁也不确定里面有没有“潜在炸弹”。
比如：
- 某个 EC2 镜像里的系统包版本太老；
- 某个应用暴露了高危端口；
- 某台机器被人装了恶意脚本但你没察觉。
Amazon Inspector 就是为了解决这些问题的。
它是 AWS 官方的自动安全检测工具，
能自动扫描 EC2、ECR 容器、Lambda 函数等资源的漏洞和安全配置问题。
一、Amazon Inspector 是什么？
Amazon Inspector 属于 自动化安全评估服务。
它会扫描你的云资源，自动识别出漏洞、弱点和配置风险。
举个例子：
你有一台 EC2 实例，跑着 Nginx + PHP。
Inspector 会自动检测系统软件版本、CVE 漏洞、开放端口、权限配置等，
并把结果生成安全报告。
更关键的是：全程自动化，不用人工操作。
二、支持的检测范围
| 类型 | 说明 |
|---|---|
| EC2 实例 | 检查操作系统、内核、软件包漏洞 |
| ECR 容器镜像 | 检查镜像中依赖库漏洞（支持 Docker 镜像） |
| Lambda 函数 | 检查依赖包安全性、权限配置 |
| VPC 网络 | 检查暴露端口与网络安全组风险 |
Inspector 会不断从 AWS 安全数据库同步最新漏洞信息（包含 CVE），
所以扫描结果几乎实时更新。
三、运行机制
- 启用 Inspector 服务
打开控制台 → 选择「Amazon Inspector」 → 点击启用。 - 自动发现资源
它会自动识别你账户下的 EC2、ECR、Lambda 等资源。 - 开始扫描
Inspector 会根据规则库，持续评估这些资源。 - 查看报告
在控制台 “Findings（检测结果）” 页面中可以查看漏洞详情。
每条问题都会标明严重等级（Critical / High / Medium / Low），并给出修复建议。
四、与传统漏洞扫描的区别
| 对比项 | Amazon Inspector | 传统漏洞扫描 |
|---|---|---|
| 部署 | 无需安装扫描器 | 需额外部署 |
| 更新频率 | AWS 自动同步 CVE 数据 | 手动更新规则 |
| 扫描范围 | EC2 / ECR / Lambda | 通常仅主机 |
| 成本 | 按使用量计费 | 通常固定高价 |
| 精度 | 与 AWS 资源原生集成 | 通用扫描，误报多 |
也就是说，Inspector 是 “云原生版本” 的 Nessus / Qualys，
更轻量、更自动、更适合 AWS 环境。
五、费用说明
Amazon Inspector 按扫描资源数量计费（单位：每月）。
价格范围大致如下（会因区域略有不同）：
- EC2 实例：约 $0.0025 / 实例·小时
- ECR 镜像：约 $0.09 / 镜像扫描
- Lambda 函数：约 $0.001 / 扫描事件
站长日常用几台 EC2 的话，成本非常低，
完全可以开启做安全保障。
六、实用建议
- 刚上线的机器立刻扫一次
防止旧镜像中带漏洞。 - 结合 CloudWatch 告警使用
一旦发现高危漏洞，自动触发 SNS 通知。 - 定期查看 Findings 页面
AWS 会自动更新扫描结果，不需要手动跑。 - 与 GuardDuty 联动
GuardDuty 检测异常行为，Inspector 检测漏洞，两者配合效果更强。
七、总结
Amazon Inspector 是 AWS 安全体系中最容易被忽视、但极其实用的服务。
它能帮你自动化发现安全漏洞，让系统保持健康和合规。
如果你在 AWS 上运行网站、API、影视站、或者广告业务，
开启 Inspector 就像给服务器上了安全保险。
毕竟，能提前发现漏洞，总比被攻击后补救要便宜得多。
