View a markdown version of this page

Voraussetzungen für die ECS-EC2 Bottlerocket-Unterstützung - Amazon GuardDuty
Machen Sie EC2-Instances SSM-verwaltet und konfigurieren Sie InstanzberechtigungenValidierung der architektonischen AnforderungenAnforderungen an die NetzwerkkonnektivitätValidierung der Service-Control-Richtlinie Ihres Unternehmens in einer Umgebung mit mehreren KontenBei Verwendung der automatisierten AgentenkonfigurationCPU- und SpeicherlimitNächster Schritt

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Voraussetzungen für die ECS-EC2 Bottlerocket-Unterstützung

Wichtig

Dieser Abschnitt gilt nur für ECS-optimized Bottlerocket-AMIs der Version v1.62.1 und höher, einschließlich der folgenden Varianten:

  • bottlerocket-aws-ecs-2-x86_64 / bottlerocket-aws-ecs-2-aarch64

  • bottlerocket-aws-ecs-3-x86_64 / bottlerocket-aws-ecs-3-aarch64

  • bottlerocket-aws-ecs-2-nvidia / bottlerocket-aws-ecs-2-nvidia-fips

  • bottlerocket-aws-ecs-3-nvidia / bottlerocket-aws-ecs-3-nvidia-fips

Runtime Monitoring dehnt GuardDuty die Bedrohungserkennung auf Ihre Bottlerocket Amazon EC2 EC2-Instances in Amazon ECS-Clustern aus. Dabei wird ein Sicherheitsagent verwendet, der als Host-Container ausgeführt wird und dem containeroptimierten Design von Bottlerocket entspricht. Um es zu aktivieren, müssen Sie die Voraussetzungen in diesem Abschnitt erfüllen. Wenn diese Voraussetzungen erfüllt sind, finden Sie weitere Informationen unterLaufzeitüberwachung aktivieren GuardDuty.

Weitere Informationen zu Anforderungen und Anweisungen finden Sie unterVerwaltung des GuardDuty Sicherheitsagenten auf Bottlerocket (Amazon ECS auf Amazon EC2).

Machen Sie EC2-Instances SSM-verwaltet und konfigurieren Sie Instanzberechtigungen

GuardDuty verwendet AWS Systems Manager (SSM), um den Security Agent auf Ihren Bottlerocket-Instances bereitzustellen, zu installieren und zu verwalten, wobei der SSM-Agent im Bottlerocket-Kontrollcontainer ausgeführt wird.

In den meisten Fällen decken die Berechtigungen, über die Ihre Instanzen bereits für Bottlerocket verfügen, auch ab. GuardDuty Es sind keine zusätzlichen Richtlinien erforderlich. Die AmazonEC2ContainerRegistryReadOnly Richtlinie, die Bottlerocket verwendet, um seine Kontroll- und Admin-Container-Images abzurufen, erfüllt auch die Anforderung, das GuardDuty Agenten-Container-Image abzurufen. Weitere Informationen finden Sie in der README-Datei zu Bottlerocket.

Das Instanzprofil muss die folgenden verwalteten Richtlinien enthalten:

  • AmazonSSMManagedInstanceCore— Erforderlich, damit der Bottlerocket Control Container den SSM-Agenten ausführen kann. Informationen zur Verwaltung Ihrer Amazon EC2 EC2-Instances mit Systems Manager finden Sie im AWS Systems Manager Benutzerhandbuch unter Systems Manager für Amazon EC2 EC2-Instances einrichten.

  • AmazonEC2ContainerRegistryReadOnly— Erforderlich für das Abrufen des GuardDuty Agenten-Container-Images aus Amazon ECR. Es sind mindestens die folgenden Berechtigungen erforderlich:

    ...
      "ecr:GetAuthorizationToken",
      "ecr:BatchCheckLayerAvailability",
      "ecr:GetDownloadUrlForLayer",
      "ecr:BatchGetImage",
...

Um die Amazon ECR-Berechtigungen weiter einzuschränken, können Sie den Amazon ECR-Repository-URI hinzufügen, der den GuardDuty Security Agent für Amazon ECS-Amazon EC2 Bottlerocket hostet. Weitere Informationen finden Sie unter ECR-Repository für GuardDuty Agenten auf Bottlerocket ECS-EC2.

Validierung der architektonischen Anforderungen

Die Architektur Ihrer Instances bestimmt, wie sich der Security Agent verhält. GuardDuty Bottlerocket ECS-2 und seine ECS-3 Varianten erfüllen diese Anforderungen von Haus aus. Bestätigen Sie Folgendes, bevor Sie Runtime Monitoring aktivieren:

  • Die Kernel-Unterstützung umfasst eBPFTracepoints, undKprobe. ECS-2 Bottlerocket-Varianten verwenden Kernel 6.1 und ECS-3 Varianten verwenden Kernel. 6.12 Beide Versionen erfüllen die Kernel-Anforderungen für Runtime Monitoring. Die CONFIG_DEBUG_INFO_BTF=y Kernel-Option ist in Bottlerocket ECS-2 und Kernels standardmäßig aktiviert. ECS-3

  • Für CPU-Architekturen unterstützt Runtime Monitoring AMD64 () und ARM64 (). x86_64 aarch64

Anforderungen an die Netzwerkkonnektivität

GuardDuty hostet seinen Sicherheitsagenten als Container-Image in Amazon ECR, sodass Ihre Instances eine Netzwerkverbindung zu Amazon ECR benötigen, um ihn abrufen zu können. Wählen Sie je nach Ihrer Netzwerkkonfiguration eine der folgenden Optionen:

Option 1 — Nutzung des öffentlichen Netzwerkzugangs (falls verfügbar)

Wenn Ihre Bottlerocket-Instanzen in Subnetzen mit ausgehendem Internetzugang ausgeführt werden, ist keine zusätzliche Netzwerkkonfiguration erforderlich.

Option 2 — Verwendung von Amazon VPC-Endpunkten (für private Subnetze)

Für Bottlerocket-Instances in privaten Subnetzen bieten VPC-Endpunkte die Konnektivität, die der Agent benötigt. Konfigurieren Sie Endpunkte für Amazon ECR, Amazon S3 und Systems Manager, sodass Instances das Agenten-Image abrufen und zur Bereitstellung mit Systems Manager kommunizieren können.

Weitere Informationen zur Konfiguration von VPC-Endpunkten finden Sie unter Create the VPC Endpoints for Amazon ECR im Amazon Elastic Container Registry User Guide und Create VPC Endpoints im User Guide.AWS Systems Manager

Validierung der Service-Control-Richtlinie Ihres Unternehmens in einer Umgebung mit mehreren Konten

Wenn Sie eine Service Control Policy (SCP) zur Verwaltung von Berechtigungen in Ihrer Organisation eingerichtet haben, überprüfen Sie, ob die Rechtegrenze die Aktion zulässt. guardduty:SendSecurityTelemetry GuardDuty benötigt diese Berechtigung, um Runtime Monitoring für verschiedene Ressourcentypen zu unterstützen.

Wenn es sich bei Ihrem Konto um ein Mitgliedskonto handelt, wenden Sie sich an den zugehörigen delegierten Administrator. Informationen zur Verwaltung von SCPs für Ihr Unternehmen finden Sie unter Service Control Policies (SCPs).

Bei Verwendung der automatisierten Agentenkonfiguration

Um die automatische Agentenkonfiguration verwenden zu können, AWS-Konto müssen Sie die folgenden Voraussetzungen erfüllen:

  • Wenn Sie Inclusion-Tags mit automatisierter Agentenkonfiguration verwenden, GuardDuty um eine SSM-Zuordnung für eine neue Instance zu erstellen, stellen Sie sicher, dass die neue Instance SSM-verwaltet wird und in der https://console.aws.amazon.com/systems-manager/Konsole unter Fleet Manager angezeigt wird.

  • Wenn Sie Ausschlusstags mit automatisierter Agentenkonfiguration verwenden:

    • Fügen Sie einer Amazon EC2 EC2-Instance das false TagGuardDutyManaged: hinzu, bevor Sie sie starten und bevor Sie den GuardDuty automatisierten Agenten für Ihr Konto konfigurieren. Nachdem die automatische Agentenkonfiguration aktiviert wurde, wird jede Instance, die ohne Ausschluss-Tag gestartet wird, automatisch abgedeckt.

    • Aktivieren Sie für Ihre Instances die Option „Tags zulassen“ in den Metadaten-Einstellungen. Diese Einstellung ist erforderlich, da das Ausschluss-Tag aus dem Instanz-Metadatendienst (IMDS) gelesen werden GuardDuty muss, um festzustellen, ob die Instanz von der Agenteninstallation ausgeschlossen werden soll. Weitere Informationen finden Sie unter Aktivieren des Zugriffs auf Tags in Instance-Metadaten im Amazon EC2 EC2-Benutzerhandbuch.

CPU- und Speicherlimit für den Agenten GuardDuty

CPU-Grenze

GuardDuty begrenzt den Security Agent auf 10 Prozent der gesamten vCPU-Kapazität der Instance. Auf einer Instanz mit 4 vCPU-Kernen kann der Agent beispielsweise höchstens 0,4 vCPU verwenden.

Speicherlimit

Aus dem Speicher, der Ihrer Amazon EC2 EC2-Instance zugeordnet ist, gibt es ein Limit für den Speicher, den der GuardDuty Security Agent verwenden kann.

Die folgende Tabelle zeigt das Speicherlimit.

Speicher der Amazon EC2 EC2-Instance

Maximaler Arbeitsspeicher für den Agenten GuardDuty

Weniger als 8 GB

128 MB

8 GB bis weniger als 32 GB

256 MB

Mehr als oder gleich 32 GB

1 GB

Nächster Schritt

Im nächsten Schritt konfigurieren Sie Runtime Monitoring und verwalten den Security Agent automatisch.