View a markdown version of this page

Korrigieren von Erkenntnissen der Laufzeitüberwachung - Amazon GuardDuty
Behebung kompromittierter Container-Images

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Korrigieren von Erkenntnissen der Laufzeitüberwachung

Wenn Sie Runtime Monitoring für Ihr Konto aktivieren, generiert Amazon GuardDuty möglicherweise InformationenGuardDuty Findetypen für die Laufzeitüberwachung, die auf potenzielle Sicherheitsprobleme in Ihrer AWS Umgebung hinweisen. Die potenziellen Sicherheitsprobleme deuten entweder auf eine kompromittierte Amazon EC2-Instance, einen Container-Workload, einen Amazon EKS-Cluster oder eine Reihe kompromittierter Anmeldeinformationen in Ihrer Umgebung hin. AWS Der Security Agent überwacht Laufzeitereignisse mehrerer Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie sich den Ressourcentyp in den generierten Ergebnisdetails in der GuardDuty Konsole an. Im folgenden Abschnitt werden die empfohlenen Behebungsschritte für alle Szenarien beschrieben.

Instance

Wenn der Ressourcentyp in den Erkenntnisdetails Instance lautet, deutet dies darauf hin, dass entweder eine EC2-Instance oder ein EKS-Knoten potenziell kompromittiert ist.

EKSCluster

Wenn der Ressourcentyp in den Erkenntnisdetails EKSCluster lautet, deutet dies darauf hin, dass entweder ein Pod oder ein Container in einem EKS-Cluster potenziell kompromittiert ist.

ECSCluster

Wenn der Ressourcentyp in den Ergebnisdetails ecsCluster lautet, bedeutet dies, dass entweder eine ECS-Aufgabe oder ein Container innerhalb einer ECS-Aufgabe potenziell gefährdet ist.

  1. Identifizieren Sie den betroffenen ECS-Cluster

    Das GuardDuty Runtime Monitoring-Ergebnis enthält die ECS-Cluster-Details im Detailbereich des Ergebnisses oder im resource.ecsClusterDetails Abschnitt im Ergebnis-JSON.

  2. Identifizieren Sie die betroffene ECS-Aufgabe

    Das GuardDuty Runtime Monitoring-Ergebnis enthält die Details der ECS-Aufgabe im Detailbereich des Ergebnisses oder im resource.ecsClusterDetails.taskDetails Abschnitt im Ergebnis-JSON.

  3. Isolieren Sie die betroffene Aufgabe

    Isolieren Sie die betroffene Aufgabe, indem Sie den gesamten ein- und ausgehenden Datenverkehr für die Aufgabe blockieren. Eine Regel zum Verweigern des gesamten Datenverkehrs kann dazu beitragen, einen Angriff zu stoppen, der bereits im Gange ist, indem alle Verbindungen zu der Aufgabe unterbrochen werden.

  4. Korrigieren Sie die kompromittierte Aufgabe

    1. Identifizieren Sie die Sicherheitslücke, durch die die Aufgabe gefährdet wurde.

    2. Implementieren Sie den Fix für diese Sicherheitsanfälligkeit und starten Sie eine neue Ersatzaufgabe.

    3. Stoppen Sie die anfällige Aufgabe.

Container

Wenn der Ressourcentyp in den Erkenntnisdetails Container lautet, deutet dies darauf hin, dass ein alleinstehender Container potenziell kompromittiert ist.

Behebung kompromittierter Container-Images

Wenn ein GuardDuty Befund darauf hindeutet, dass die Aufgabe kompromittiert wurde, könnte das zum Starten der Aufgabe verwendete Image bösartig oder kompromittiert sein. GuardDuty Die Ergebnisse identifizieren das Container-Image innerhalb des resource.ecsClusterDetails.taskDetails.containers.image Felds. Sie können feststellen, ob das Bild schädlich ist, indem Sie es auf Malware scannen.

Um ein kompromittiertes Container-Image zu reparieren

  1. Beenden Sie sofort die Verwendung des Images und entfernen Sie es aus Ihrem Image-Repository.

  2. Identifizieren Sie alle Aufgaben, die dieses Image verwenden.

  3. Beenden Sie alle Aufgaben, die das kompromittierte Image verwenden. Aktualisieren Sie ihre Aufgabendefinitionen, sodass sie das kompromittierte Image nicht mehr verwenden.