Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Voraussetzungen für AWS Fargate Unterstützung (nur Amazon ECS)

Dieser Abschnitt enthält die Voraussetzungen für die Überwachung des Laufzeitverhaltens Ihrer Fargate-Amazon ECS-Ressourcen. Wenn diese Voraussetzungen erfüllt sind, finden Sie weitere Informationen unterLaufzeitüberwachung aktivieren GuardDuty.

Validierung der architektonischen Anforderungen

Die von Ihnen verwendete Plattform kann sich darauf auswirken, wie der GuardDuty Security Agent GuardDuty den Empfang der Laufzeitereignisse von Ihren Amazon ECS-Clustern unterstützt. Sie müssen bestätigen, dass Sie eine der verifizierten Plattformen verwenden.

Die verifizierten CPU-Architekturen, Betriebssystemverteilungen und Kernelversionen finden Sie unter. Unterstützte CPU-Architekturen, Betriebssysteme und Kernelversionen

Voraussetzungen für den Zugriff auf Container-Images

Die folgenden Voraussetzungen helfen Ihnen beim Zugriff auf das GuardDuty Sidecar-Container-Image aus dem Amazon ECR-Repository.

Berechtigungsanforderungen

Für die Rolle zur Aufgabenausführung sind bestimmte Amazon Elastic Container Registry (Amazon ECR) -Berechtigungen erforderlich, um das GuardDuty Security Agent-Container-Image herunterzuladen:

...
      "ecr:GetAuthorizationToken",
      "ecr:BatchCheckLayerAvailability",
      "ecr:GetDownloadUrlForLayer",
      "ecr:BatchGetImage",
...

Um die Amazon ECR-Berechtigungen weiter einzuschränken, können Sie die Amazon ECR-Repository-URI hinzufügen, für die der GuardDuty Security Agent gehostet wird AWS Fargate (nur Amazon ECS). Weitere Informationen finden Sie unter Amazon ECR-Repository-Hosting-Agent GuardDuty.

Sie können entweder die AmazonECSTaskExecutionRolePolicy verwaltete Richtlinie verwenden oder die oben genannten Berechtigungen zu Ihrer TaskExecutionRole Richtlinie hinzufügen.

Konfiguration der Aufgabendefinition

Wenn Sie Amazon ECS-Services erstellen oder aktualisieren, müssen Sie Subnetzinformationen in Ihrer Aufgabendefinition angeben:

Für die Ausführung der UpdateService APIs CreateService und in der Amazon Elastic Container Service API-Referenz müssen Sie die Subnetzinformationen übergeben. Weitere Informationen finden Sie unter Amazon ECS-Aufgabendefinitionen im Amazon Elastic Container Service Developer Guide.

Anforderungen an die Netzwerkkonnektivität

Sie müssen die Netzwerkkonnektivität sicherstellen, um das GuardDuty Container-Image von Amazon ECR herunterzuladen. Diese Anforderung ist spezifisch für, GuardDuty da Amazon ECR zum Hosten seines Sicherheitsagenten verwendet wird. Abhängig von Ihrer Netzwerkkonfiguration müssen Sie eine der folgenden Optionen implementieren:

Informationen dazu, wie Sie Fargate das Herunterladen des GuardDuty Containers ermöglichen, finden Sie unter Verwenden von Amazon ECR-Images mit Amazon ECS im Amazon Elastic Container Registry Benutzerhandbuch.

Sicherheitsgruppenkonfiguration

Die GuardDuty Container-Images befinden sich in Amazon ECR und erfordern Amazon S3-Zugriff. Diese Anforderung gilt speziell für das Herunterladen von Container-Images von Amazon ECR. Für Aufgaben mit eingeschränktem Netzwerkzugriff müssen Sie Ihre Sicherheitsgruppen so konfigurieren, dass sie den Zugriff auf S3 ermöglichen.

Fügen Sie Ihrer Sicherheitsgruppe eine Regel für ausgehenden Datenverkehr hinzu, die den Datenverkehr zur verwalteten S3-Präfixliste (pl-xxxxxxxx) auf Port 443 zulässt. Informationen zum Hinzufügen einer Regel für ausgehenden Datenverkehr finden Sie unter Sicherheitsgruppenregeln konfigurieren im Amazon VPC-Benutzerhandbuch.

Informationen zum Anzeigen Ihrer AWS verwalteten Präfixlisten in der Konsole oder zur Beschreibung mithilfe von AWS Command Line Interface (AWS CLI) finden Sie unter AWS-managed Prefixlisten im Amazon VPC-Benutzerhandbuch.

Validierung der Service Control-Richtlinie Ihres Unternehmens in einer Umgebung mit mehreren Konten

In diesem Abschnitt wird erklärt, wie Sie Ihre SCP-Einstellungen (Service Control Policy) überprüfen, um sicherzustellen, dass Runtime Monitoring in Ihrem gesamten Unternehmen erwartungsgemäß funktioniert.

Wenn Sie eine oder mehrere Service Control-Richtlinien zur Verwaltung von Berechtigungen in Ihrer Organisation eingerichtet haben, müssen Sie sicherstellen, dass die guardduty:SendSecurityTelemetry Aktion nicht verweigert wird. Informationen zur Funktionsweise von SCPs finden Sie unter SCP-Evaluierung im AWS Organizations Benutzerhandbuch.

Wenn es sich bei Ihrem Konto um ein Mitgliedskonto handelt, wenden Sie sich an den entsprechenden delegierten Administrator. Informationen zur Verwaltung von SCPs für Ihr Unternehmen finden Sie im Benutzerhandbuch unter Service Control Policies (SCPs). AWS Organizations

Führen Sie die folgenden Schritte für alle SCPs aus, die Sie in Ihrer Umgebung mit mehreren Konten eingerichtet haben:

Validierung der Rollenberechtigungen und der Grenzen der Richtlinienberechtigungen

Gehen Sie wie folgt vor, um zu überprüfen, ob die mit der Rolle und ihrer Richtlinie verknüpften Berechtigungsgrenzen die guardduty:SendSecurityTelemetry Aktionen nicht einschränken.

CPU- und Arbeitsspeicherlimits

In der Fargate-Aufgabendefinition müssen Sie den CPU- und Speicherwert auf Aufgabenebene angeben. Die folgende Tabelle zeigt die gültigen Kombinationen von CPU- und Speicherwerten auf Taskebene sowie das entsprechende maximale Speicherlimit für den GuardDuty Security Agent für den Container. GuardDuty

Nachdem Sie Runtime Monitoring aktiviert und festgestellt haben, dass der Abdeckungsstatus Ihres Clusters fehlerfrei ist , können Sie die Container-Insight-Metriken einrichten und anzeigen. Weitere Informationen finden Sie unter Überwachung auf dem Amazon ECS-Cluster einrichten.

Der nächste Schritt besteht darin, Runtime Monitoring und auch den Security Agent zu konfigurieren.