InspectorのECR継続スキャンで最新のコンテナイメージの脆弱性のみを検知する方法

はじめに InspectorのECR継続スキャン[1]において、最新のコンテナイメージで検知した脆弱性は、基本的には古いコンテナイメージでも検知される。 理由としては、MWバージョンが最新のコンテナイメージ < 古いコンテナイメージとなることは基本的にはなく、最新のコンテナイメージで脆弱性を含んでいるMWバージョンは、古いコンテナイメージのMWバージョンでも同じ脆弱性を含んでいる可能性が高いからである。 InspectorのECR継続スキャンはレポジトリに保存されているコンテナイメージ全てを対象とする為、例えばコンテナイメージのライフサイクルを10世代としている場合、最新のコンテナイメージで検知した脆弱性は、残りの9個のコンテナイメージでも検知される可能性が高く、この場合は同じ脆弱性が10個重複して検知されてしまう。 実際に、あるシステムで後からInspectorを有効化した際、大量の脆弱

[tocguitar1]

めちゃくちゃ良い知見だ！！