View a markdown version of this page

Behebung eines potenziell kompromittierten EC2-AMI - Amazon GuardDuty

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Behebung eines potenziell kompromittierten EC2-AMI

Wann generiert ein! GuardDuty Execution:EC2/MaliciousFile AMI-Findetyp. Er weist darauf hin, dass Malware in einem Amazon Machine Image (AMI) erkannt wurde. Führen Sie die folgenden Schritte durch, um das potenziell kompromittierte AMI zu beheben:

  1. Identifizieren Sie das potenziell gefährdete AMI

    1. Bei einer GuardDuty Suche nach AMIs werden die betroffene AMI-ID, ihr Amazon-Ressourcenname (ARN) und die zugehörigen Malware-Scandetails in den Funddetails aufgeführt.

    2. Überprüfen Sie das AMI-Quellbild:

      aws ec2 describe-images --image-ids ami-021345abcdef6789

  2. Beschränken Sie den Zugriff auf die gefährdeten Ressourcen

    1. Überprüfen und ändern Sie die Richtlinien für den Zugriff auf den Backup-Tresor, um den Zugriff auf den Recovery-Punkt einzuschränken und alle automatisierten Wiederherstellungsaufträge auszusetzen, die diesen Recovery-Punkt möglicherweise verwenden.

    2. Entfernen Sie die Berechtigungen aus den AMI-Quellberechtigungen

      Sehen Sie sich zuerst die vorhandenen Berechtigungen an: 

      aws ec2 describe-image-attribute --image-id ami-abcdef01234567890 --attribute launchPermission

      Dann entferne einzelne Berechtigungen: 

      aws ec2 modify-image-attribute --image-id ami-abcdef01234567890 --launch-permission '{"Remove":[{"UserId":"111122223333"}]}'

      Weitere CLI-Optionen finden Sie unter Ein AMI mit bestimmten Konten teilen — Amazon Elastic Compute Cloud

    3. Wenn es sich bei der Quelle um eine EC2-Instance handelt, siehe: Behebung einer potenziell kompromittierten Amazon EC2-Instance.

  3. Ergreifen Sie Abhilfemaßnahmen

    • Bevor Sie mit dem Löschen fortfahren, stellen Sie sicher, dass Sie alle Abhängigkeiten identifiziert haben und bei Bedarf über geeignete Backups verfügen.