View a markdown version of this page

Cómo corregir un punto de recuperación de S3 que podría estar comprometido - Amazon GuardDuty

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Cómo corregir un punto de recuperación de S3 que podría estar comprometido

Cuando GuardDuty genera un! Execution:S3/MaliciousFile RecoveryPoint tipo de búsqueda, indica que se ha detectado malware en un recurso de copia de seguridad de S3 Recovery Point. Realice los siguientes pasos para corregir el punto de recuperación que podría estar comprometido:

  1. Identifique el punto de recuperación S3 que podría estar comprometido

    1. La GuardDuty búsqueda de puntos de recuperación de S3 incluirá el ARN del punto de recuperación afectado, el nombre del almacén de copias de seguridad y los detalles de escaneo de malware asociados en los detalles de la búsqueda.

    2. Revisa los detalles del punto de recuperación:

      aws backup describe-recovery-point --backup-vault-name 021345abcdef6789 --recovery-point-arn arn:aws:backup:us-east-1:123456789012:recovery-point:abcdef01234567890

  2. Restrinja el acceso a los recursos comprometidos

    • Revise y modifique las políticas de acceso a los almacenes de respaldo para restringir el acceso a los puntos de recuperación y suspender cualquier trabajo de restauración automatizado que pueda utilizar este punto de recuperación. Si su entorno utiliza el etiquetado de recursos, etiquete el punto de recuperación de forma adecuada para indicar que se está investigando y considere la posibilidad de pausar las copias de seguridad programadas si es necesario.

      Ejemplo: 

      aws backup tag-resource —resource-arn arn:aws:backup:us-east-1:111122223333:recovery-point:abcdef01234567890 —tags Investigation=Malware,DoNotDelete=True

      Para obtener más información, consulte: Referencia de comandos de la CLI de tag-resource

  3. Tome medidas correctivas

    • Antes de proceder a la eliminación, asegúrese de haber identificado todas las dependencias y de disponer de las copias de seguridad adecuadas, si es necesario.