Amazon Inspector quét lỗ hổng AMI: chặn lỗi trước khi tạo EC2

Một AMI cũ có thể chứa thư viện đã hết bản vá nhưng vẫn được dùng để tạo hàng chục máy EC2 mới. Khi đó, vá từng máy sau khi khởi chạy chỉ xử lý phần ngọn. Ngày 02/11/2026, AWS công bố Amazon Inspector có thể quét trực tiếp Amazon Machine Image (AMI), tức ảnh mẫu dùng để tạo máy ảo EC2, mà không cần bật một instance hoặc cài thêm phần mềm trên máy.

Bài này dành cho đội cloud, DevSecOps và quản trị hệ thống đang duy trì nhiều ảnh máy ảo. Điều quan trọng không phải là có thêm một báo cáo, mà là đưa kết quả quét vào cửa kiểm soát trước khi AMI được phân phối cho tài khoản và môi trường đang phục vụ khách hàng.

Điều AWS vừa bổ sung

Theo thông báo AWS ngày 02/11/2026, Amazon Inspector hỗ trợ hai cách: đánh giá liên tục toàn bộ danh mục AMI để phát hiện lỗ hổng mới và quét một lần cho AMI cụ thể ngay trong EC2 Console. Phạm vi có thể bật cho một tài khoản hoặc toàn bộ AWS Organizations.

Kết quả có thể được chuyển sang AWS Security Hub. Doanh nghiệp cũng có thể kết hợp với Allowed AMIs để chỉ cho phép sử dụng ảnh đáp ứng tiêu chí bảo mật, rồi áp dụng chính sách khai báo trên toàn tổ chức. Với EC2 Image Builder, bước quét có thể nằm ngay trong pipeline xây dựng và phân phối AMI.

Giá trị thực tế với đội vận hành

Trước đây, một cách phổ biến là tạo EC2 từ AMI, chờ máy khởi động, cài hoặc kích hoạt trình quét rồi mới thu kết quả. Cách mới giảm số tài nguyên tạm và rút ngắn vòng phản hồi. Quan trọng hơn, đội bảo mật có thể đánh giá cả ảnh ít được dùng nhưng vẫn còn quyền khởi tạo máy.

Tuy vậy, quét AMI không chứng minh máy ảo khi chạy là an toàn. Kết quả không thay thế việc kiểm tra nhóm bảo mật, IAM role, dữ liệu bí mật, dịch vụ mở cổng, cấu hình cloud-init, bản vá được cài lúc khởi động hoặc phần mềm tải động sau khi máy đã lên. Đây là lớp kiểm soát cho phần mềm nằm trong ảnh, không phải chứng nhận cho toàn bộ workload.

Checklist đưa quét AMI vào quy trình

1. Lập danh mục chủ sở hữu, mục đích, ngày tạo và vòng đời cho từng AMI; không giữ ảnh vô chủ chỉ vì sợ ảnh hưởng hệ thống cũ.
2. Bật quét trước ở tài khoản thử nghiệm, xác định ngưỡng theo mức nghiêm trọng và tuổi của bản vá thay vì chặn mọi phát hiện ngay lập tức.
3. Đưa quét vào EC2 Image Builder; chỉ phân phối AMI sau khi đã qua kiểm thử chức năng, kiểm thử khởi động và kiểm tra lỗ hổng.
4. Dùng Allowed AMIs theo lộ trình: bắt đầu ở chế độ quan sát, ghi lại workload bị ảnh hưởng rồi mới chuyển sang cưỡng chế.
5. Theo dõi lại ảnh đã duyệt vì một AMI sạch hôm nay vẫn có thể xuất hiện CVE mới vào ngày mai.
6. Sau khi triển khai, tiếp tục quét instance đang chạy và giám sát cấu hình mạng, quyền IAM cùng thay đổi ngoài pipeline.

Cách áp dụng cho hạ tầng tại Việt Nam

Doanh nghiệp chạy đa đám mây hoặc kết hợp máy chủ riêng nên dùng cùng một tiêu chí đầu ra: gói nào bị ảnh hưởng, phiên bản sửa, mức nghiêm trọng, ngoại lệ do ai phê duyệt và thời hạn xây lại ảnh. Không nên sao chép nguyên thang điểm CVSS thành quyết định vá; máy chỉ mở mạng nội bộ và máy đối diện Internet có mức ưu tiên khác nhau.

Nếu cần đối chiếu với mô hình thuê máy chủ hoặc VPS, đội vận hành có thể chuẩn bị danh sách hệ điều hành, cách tạo image, tần suất dựng lại và yêu cầu cô lập rồi gửi qua trang thuê Cloud VPS. Mục tiêu là xác định lớp nào do nền tảng đảm nhiệm và lớp nào doanh nghiệp vẫn phải tự vá, không phải mặc định nâng cấu hình phần cứng.

Nguồn tham khảo

• AWS What's New, “EC2 Amazon Machine Images can now be scanned for vulnerabilities through Amazon Inspector”, đăng và có hiệu lực ngày 02/11/2026.
• Tài liệu Amazon Inspector và EC2 Image Builder được liên kết trực tiếp từ thông báo AWS; chi phí cần kiểm tra theo khu vực và cấu hình tài khoản trước khi bật rộng.