Behebung eines potenziell gefährdeten EC2-AMI - Amazon GuardDuty

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Behebung eines potenziell gefährdeten EC2-AMI

Wenn GuardDuty generiert eine Ausführung:EC2/! MaliciousFile AMI-Findungstyp, weist darauf hin, dass Malware in einem Amazon Machine Image (AMI) erkannt wurde. Gehen Sie wie folgt vor, um das potenziell gefährdete AMI zu beheben:

  1. Identifizieren Sie das potenziell gefährdete AMI

    1. Bei einem GuardDuty Ergebnis für AMIs werden die betroffene AMI-ID, der Amazon-Ressourcenname (ARN) und die zugehörigen Malware-Scandetails in den Ergebnisdetails aufgeführt.

    2. Überprüfen Sie das AMI-Quellbild:

      aws ec2 describe-images --image-ids ami-021345abcdef6789

  2. Beschränken Sie den Zugriff auf die gefährdeten Ressourcen

    1. Überprüfen und ändern Sie die Zugriffsrichtlinien für Backup-Tresore, um den Zugriff auf Wiederherstellungspunkte einzuschränken und alle automatisierten Wiederherstellungsaufträge auszusetzen, die diesen Recovery Point verwenden könnten.

    2. Berechtigungen aus den Quell-AMI-Berechtigungen entfernen

      Sehen Sie sich zuerst die vorhandenen Berechtigungen an: 

      aws ec2 describe-image-attribute --image-id ami-abcdef01234567890 --attribute launchPermission

      Entfernen Sie dann einzelne Berechtigungen: 

      aws ec2 modify-image-attribute --image-id ami-abcdef01234567890 --launch-permission '{"Remove":[{"UserId":"111122223333"}]}'

      Weitere CLI-Optionen finden Sie unter Ein AMI mit bestimmten Konten teilen — Amazon Elastic Compute Cloud

    3. Wenn die Quelle eine EC2-Instance ist, siehe: Behebung einer potenziell gefährdeten Amazon EC2 EC2-Instance.

  3. Ergreifen Sie Abhilfemaßnahmen

    • Bevor Sie mit dem Löschen fortfahren, stellen Sie sicher, dass Sie alle Abhängigkeiten identifiziert haben und bei Bedarf über die richtigen Backups verfügen.