Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Protección contra malware en AWS Backup

Amazon Malware Protection se encarga de escanear tus copias de seguridad con GuardDuty malware. El uso de Amazon GuardDuty Malware Protection for AWS Backup le permite automatizar el análisis de los puntos de recuperación mediante los flujos de trabajo de copia de seguridad existentes o iniciar escaneos bajo demanda de las copias de seguridad creadas anteriormente. Esta solución AWS nativa ayuda a garantizar que tus copias de seguridad estén limpias de posibles programas maliciosos, lo que te permite cumplir con los requisitos de cumplimiento y responder a los incidentes malintencionados con mayor rapidez al garantizar la recuperación de datos limpios.

Para ver una lista de los tipos de recursos y regiones compatibles, visita la página de disponibilidad de funciones.

Integración con Amazon GuardDuty

AWS Backup se integra con Amazon GuardDuty Malware Protection para detectar amenazas en sus puntos de recuperación. Al iniciar un análisis de malware, llama AWS Backup automáticamente a la StartMalwareScan API GuardDuty de Amazon una vez finalizada cada copia de seguridad y le proporciona los detalles del punto de recuperación y las credenciales de su función de escáner. GuardDuty A continuación, Amazon comienza a leer, descifrar y escanear todos los archivos y objetos de la copia de seguridad.

Cuando Amazon GuardDuty accede a sus datos de respaldo, se inicia sesión en ese acceso AWS CloudTrail para mayor visibilidad.

Para obtener más información sobre esta integración, consulte la documentación de Amazon GuardDuty Malware Protection.

Cómo utilizar el análisis de malware

Si utilizas Amazon GuardDuty Malware Protection con AWS Backup, puedes escanear automáticamente tus copias de seguridad en busca de malware. Esta integración te ayuda a detectar código malintencionado en tus copias de seguridad e identificar puntos de recuperación limpios para las operaciones de restauración.

Amazon GuardDuty Malware Protection admite dos flujos de trabajo principales para escanear las copias de seguridad:

Acceso

Antes de empezar con la protección contra el malware, su cuenta debe tener los permisos necesarios para las operaciones.

AWS Backup el análisis de malware requiere dos funciones de IAM para analizar los puntos de recuperación en busca de malware potencial:

Escaneos incrementales frente a escaneos completos

Con el escaneo de malware, tiene la opción de elegir entre escaneos incrementales o completos en función de sus requisitos de seguridad y de costos.

Los escaneos incrementales analizan solo los datos que cambiaron entre el punto de recuperación objetivo y el punto de recuperación base. Estos escaneos son más rápidos y rentables en comparación con los escaneos regulares, lo que los hace ideales para realizar copias de seguridad periódicas frecuentes en las que desee escanear datos recién respaldados.

Incluso cuando se selecciona el escaneo incremental, AWS Backup realiza un escaneo completo en las siguientes situaciones:

Los análisis completos examinan todo el punto de recuperación independientemente de los análisis anteriores. Si bien estos escaneos brindan una cobertura integral, tardan más en completarse e incurren en costos más altos. Puede realizar escaneos completos a pedido o programarlos a través de sus planes de respaldo. AWS Backup recomienda configurar escaneos completos periódicos en sus planes de respaldo a intervalos prolongados para garantizar que todos los datos de respaldo se escaneen regularmente con el modelo de firma de malware más reciente.

Para lograr una seguridad óptima frente a una gestión de costes, tenga en cuenta la frecuencia de las copias de seguridad a la hora de elegir los tipos de análisis. Al configurar el escaneo de malware para las copias de seguridad continuas de Amazon S3, el trabajo de escaneo se ejecutará con la frecuencia de la regla de copia de seguridad correspondiente.

Supervisar sus escaneos de malware

Una vez activado el escaneo, tanto AWS Backup Amazon como Amazon GuardDuty proporcionan mecanismos de supervisión y notificación que puedes utilizar para hacer un seguimiento de los resultados:

Comprender los resultados de los escaneos

Sus trabajos de escaneo desde AWS Backup allí tendrán un estado de escaneo y un resultado de escaneo.

Estados de escaneo

El estado de escaneo indica el estado del trabajo y puede tener valores de: CREATEDCOMPLETED,COMPLETED_WITH_ISSUES,RUNNING,FAILED, oCANCELED.

Hay varias situaciones en las que el trabajo de escaneo terminará con el estadoCOMPLETED_WITH_ISSUES:

En el caso de las copias de seguridad de Amazon S3, existen size/type limitaciones de objetos que impedirán que los objetos se escaneen. Cuando se omita al menos un objeto en un escaneo, el trabajo de escaneo correspondiente se marcará comoCOMPLETED_WITH_ISSUES. En el caso de las copias de seguridad de Amazon EC2/Amazon EBS, existen size/quantity limitaciones de volumen que hacen que se omitan volúmenes durante el escaneo. Estas situaciones darán lugar a la creación de una tarea de copia de seguridad de Amazon EC2/Amazon EBS. COMPLETED_WITH_ISSUES

Si su trabajo finaliza con el estado COMPLETED_WITH_ISSUES y necesita más información sobre los motivos, tendrá que obtener esos detalles en el trabajo de escaneo correspondiente a través de Amazon GuardDuty.

En raras ocasiones, Amazon GuardDuty puede experimentar problemas internos al escanear archivos y objetos, lo que agota todos los reintentos. Cuando esto ocurre, AWS Backup muestra el trabajo de escaneado comoFAILED, mientras que Amazon lo GuardDuty muestra como. COMPLETED_WITH_ISSUES Esta diferencia de estado le permite ver los resultados de escaneo disponibles en Amazon y, GuardDuty al mismo tiempo, indica que Amazon GuardDuty no escaneó correctamente todos los archivos y objetos compatibles. En estos casos, AWS Backup no puede usar el punto de recuperación junto con un FAILED escaneo como punto de recuperación base para los escaneos incrementales posteriores.

Resultados del escaneo

Los resultados del escaneo indican un resultado agregado de Amazon GuardDuty y pueden tener valores de:THREATS_FOUND, oNO_THREATS_FOUND.

Los resultados del escaneo indican si se detectó malware potencial en sus puntos de recuperación. Un NO_THREATS_FOUND estado significa que no se detectó ningún malware potencial, mientras que THREATS_FOUND indica que se descubrió un posible malware. Para obtener información detallada sobre las amenazas, acceda a los GuardDuty hallazgos completos de Amazon a través de la GuardDuty consola o las API de Amazon. Los resultados de los escaneos también están disponibles mediante EventBridge eventos, lo que permite crear flujos de trabajo automatizados que respondan a las copias de seguridad infectadas.

Amazon GuardDuty conserva los resultados durante 365 días y rastrea los archivos u objetos mediante escaneos incrementales para controlar si se eliminan las amenazas o si cambian las firmas del malware. Por ejemplo, si se detecta malware en la copia de seguridad 2, se muestra el resultado del análisisTHREATS_FOUND. Al realizar un análisis incremental de la copia de seguridad 3 utilizando como base la copia de seguridad 2, el resultado del análisis se mantiene THREATS_FOUND a menos que se haya eliminado la amenaza de los datos.

Solución de problemas de errores de escaneo

Los errores de escaneo más comunes incluyen permisos de IAM insuficientes, límites de servicio y problemas de acceso a los recursos.

Los errores de permisos se producen cuando la función de copia de seguridad carece de AWSBackupServiceRolePolicyForScans permisos o la función de escáner no los tiene AWSBackupGuardDutyRolePolicyForScans con las relaciones de confianza adecuadas.

Los errores de límite de servicio se producen cuando se superan los 150 escaneos simultáneos por cuenta o los 5 escaneos simultáneos por tipo de recurso; los trabajos de escaneo permanecerán en su CREATED estado hasta que haya capacidad disponible.

Los errores de acceso denegado pueden indicar que los puntos de recuperación cifrados carecen de AWS KMS los permisos adecuados o que se han eliminado los puntos de recuperación principales para los análisis incrementales.

Los errores de tiempo de espera pueden producirse en puntos de recuperación muy grandes o durante períodos de gran GuardDuty carga de Amazon.

Para solucionar los problemas, compruebe el estado del trabajo de escaneo mediante la DescribeScanJob API, verifique las configuraciones de las funciones de IAM, asegúrese de que los puntos de recuperación existan y estén accesibles, y considere la posibilidad de cambiar a escaneos completos si faltan las referencias principales del escaneo incremental.

Supervise el uso simultáneo de los escaneos e implemente la fluctuación en los flujos de trabajo automatizados para evitar que se alcancen los límites de servicio.

Medición

Amazon proporciona y factura la protección contra el malware. GuardDuty No verás ningún AWS Backup cargo relacionado con el uso de esta función. Puedes ver todo el uso en la sección GuardDuty de facturación de Amazon. Para obtener más información, consulta los GuardDuty precios de Amazon.

Cuotas

AWS Backup Tanto Amazon como Amazon GuardDuty tienen límites de cuota para Amazon GuardDuty Malware Protection AWS Backup.

Para obtener más información, visita AWS Backup cuotas y cuotas de Amazon GuardDuty .

Pasos de uso de la consola y la CLI para los tipos de análisis de malware

En las siguientes secciones se muestran los pasos para configurar los diferentes tipos de análisis de malware mediante la consola y AWS CLI.

Cómo configurar los escaneos de malware

Consola

AWS CLI

CreateBackupPlan

Puede crear un plan de respaldo con la detección de malware habilitada mediante el comando https://awscli.amazonaws.com/v2/documentation/api/latest/reference/backup/create-backup-plan.html create-backup-plan.

aws backup create-backup-plan \
    --region us-west-2 \
    --cli-input-json '{
                        "BackupPlan": {
                          "BackupPlanName": "scan-initial-test-demo",
                          "Rules": [
                            {
                              "RuleName": "full",
                              "TargetBackupVaultName": "Default",
                              "ScheduleExpression": "cron(0 * * * ? *)",
                              "StartWindowMinutes": 120,
                              "CompletionWindowMinutes": 6000,
                              "Lifecycle": {
                                "DeleteAfterDays": 3,
                                "OptInToArchiveForSupportedResources": true
                              },
                              "RecoveryPointTags": {
                                "key1": "foo",
                                "key2": "foo"
                              },
                              "EnableContinuousBackup": true,
                              "ScanActions": [
                                {
                                  "MalwareScanner": "GUARDDUTY",
                                  "ScanMode": "FULL_SCAN"
                                }
                              ]
                            },
                            {
                              "RuleName": "incremental",
                              "TargetBackupVaultName": "Default",
                              "ScheduleExpression": "cron(30 * * * ? *)",
                              "StartWindowMinutes": 100,
                              "CompletionWindowMinutes": 5000,
                              "Lifecycle": {
                                "DeleteAfterDays": 2,
                                "OptInToArchiveForSupportedResources": true
                              },
                              "RecoveryPointTags": {
                                "key1": "foo",
                                "key2": "foo"
                              },
                              "EnableContinuousBackup": true,
                              "ScanActions": [
                                {
                                  "MalwareScanner": "GUARDDUTY",
                                  "ScanMode": "INCREMENTAL_SCAN"
                                }
                              ]
                            }
                          ],
                          "ScanSettings": [
                            {
                              "MalwareScanner": "GUARDDUTY",
                              "ResourceTypes": ["EBS", "EC2", "S3"],
                              "ScannerRoleArn": "arn:aws:iam::300949271314:role/TestBackupScannerRole"
                            }
                          ]
                        }
                      }'

UpdateBackupPlan

Puedes actualizar un plan de copia de seguridad con el análisis de malware activado mediante el comando update-backup-plan. https://awscli.amazonaws.com/v2/documentation/api/latest/reference/backup/update-backup-plan.html

aws backup update-backup-plan \
    --region us-west-2 \
    --cli-input-json '{
                        "BackupPlanId": "d1391282-68cf-4fce-93ad-e08bc5178bac",
                        "BackupPlan": {
                        "BackupPlanName": "scan-initial-test-demo",
                        "Rules": 
                          [
                            {"RuleName": "full",
                            "TargetBackupVaultName": "Default",
                            "ScheduleExpression": "cron(0 * * * ? *)",
                            "StartWindowMinutes": 60,
                            "CompletionWindowMinutes": 3000,
                            "Lifecycle": 
                              {
                              "DeleteAfterDays": 6,
                              "OptInToArchiveForSupportedResources": false},
                            "RecoveryPointTags": 
                              {"key1": "foo",
                              "key2": "foo"},
                            "EnableContinuousBackup": false,
                            "ScanActions": 
                              [
                                {"MalwareScanner": "GUARDDUTY",
                                "ScanMode": "FULL_SCAN"}
                              ]
                            },
                            {
                              "RuleName": "incremental",
                              "TargetBackupVaultName": "Default",
                              "ScheduleExpression": "cron(30 * * * ? *)",
                              "StartWindowMinutes": 120,
                              "CompletionWindowMinutes": 6000,
                              "Lifecycle": 
                                {
                                "DeleteAfterDays": 9,
                                "OptInToArchiveForSupportedResources": false},
                              "RecoveryPointTags": 
                                {"key1": "foo",
                                "key2": "foo"},
                              "EnableContinuousBackup": false,
                              "ScanActions": 
                                [
                                  {
                                  "MalwareScanner": "GUARDDUTY",
                                  "ScanMode": "INCREMENTAL_SCAN"
                                  }
                                ]
                            }
                          ],
                        "ScanSettings": 
                          [
                            {
                            "MalwareScanner": "GUARDDUTY",
                            "ResourceTypes": 
                              ["ALL", "EBS"],
                            "ScannerRoleArn": "arn:aws:iam::300949271314:role/TestBackupScannerRole"
                            }
                          ]
                        }
                      }'

Notas clave

AWS CLI Notas clave