Behebung eines potenziell gefährdeten EBS-Snapshots - Amazon GuardDuty

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Behebung eines potenziell gefährdeten EBS-Snapshots

Wann wird eine Ausführung GuardDuty generiert:/! EC2 MaliciousFile Der Snapshot-Findungstyp gibt an, dass in einem Amazon EBS-Snapshot Malware erkannt wurde. Führen Sie die folgenden Schritte aus, um den potenziell gefährdeten Snapshot zu korrigieren:

  1. Identifizieren Sie den potenziell gefährdeten Snapshot

    1. Identifizieren Sie den potenziell gefährdeten Snapshot. Bei einem GuardDuty Befund für einen EBS-Snapshot werden die betroffene Snapshot-ID, der Amazon-Ressourcenname (ARN) und die zugehörigen Malware-Scan-Details in den Ergebnisdetails aufgeführt.

    2. Überprüfen Sie die Details des Wiederherstellungspunkts mit dem folgenden Befehl:

      aws backup describe-recovery-point —backup-vault-name 021345abcdef6789 —recovery-point-arn "arn:aws:ec2:us-east-1::snapshot/snap-abcdef01234567890"

  2. Beschränken Sie den Zugriff auf den kompromittierten Snapshot

    Überprüfen und ändern Sie die Zugriffsrichtlinien für Backup-Tresore, um den Zugriff auf Wiederherstellungspunkte einzuschränken und alle automatisierten Wiederherstellungsaufträge auszusetzen, die diesen Snapshot verwenden könnten.

    1. Überprüfen Sie die aktuellen Freigabeberechtigungen: 

      aws ec2 describe-snapshot-attribute --snapshot-id snap-abcdef01234567890 --attribute createVolumePermission

    2. Spezifischen Kontozugriff entfernen: 

      aws ec2 modify-snapshot-attribute --snapshot-id snap-abcdef01234567890 --attribute createVolumePermission --operation-type remove --user-ids 111122223333

    3. Weitere CLI-Optionen finden Sie in der modify-snapshot-attribute CLI-Dokumentation.

  3. Ergreifen Sie Abhilfemaßnahmen

    • Bevor Sie mit dem Löschen fortfahren, stellen Sie sicher, dass Sie alle Abhängigkeiten identifiziert haben und bei Bedarf über die richtigen Backups verfügen.