AWS Inspector会检查当前安装的软件包和其对应的版本是否存在漏洞。如果yarn.lock中包含但未安装的软件包存在漏洞,AWS Inspector将不会检测到这些漏洞。
为了检测所有的漏洞,需要先在本地使用Snyk等漏洞扫描工具扫描yarn.lock中的所有软件包,然后在部署AWS Inspector时,将该工具的扫描结果作为参数传递给AWS Inspector。
以下是一个使用Snyk扫描yarn.lock并将扫描结果传递给AWS Inspector的示例代码:
# install Snyk
npm install -g snyk
# scan yarn.lock
snyk test --file=yarn.lock
# export scan result to JSON file
snyk test --file=yarn.lock --json > snyk_result.json
# run AWS Inspector with scan result as input
aws inspector start-assessment-run --assessment-template-arn arn:aws:inspector:us-west-2:123456789012:target/0-nvgD0vZD/template/0-kv736vZN --user-attributes '{"snykScanResult": }' --assessment-run-name "MyAssessmentRun"
以上代码将使用Snyk扫描yarn.lock文件,并将扫描结果导出为JSON文件。然后,将扫描结果作为参数传递给AWS Inspector,以便在审计运行期间检测所有软件包漏洞。