Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Cómo funciona la supervisión en tiempo de ejecución con Fargate (solo Amazon ECS)
Cuando habilita la supervisión del tiempo de ejecución, GuardDuty está listo para consumir los eventos de tiempo de ejecución de una tarea. Estas tareas se ejecutan en los clústeres de Amazon ECS, que a su vez se ejecutan en las AWS Fargate instancias. GuardDuty Para recibir estos eventos de tiempo de ejecución, debe usar un agente de seguridad dedicado y totalmente administrado.
nota
Runtime Monitoring no admite aplicaciones que se ejecuten en instancias administradas por Amazon ECS.
Puede GuardDuty permitir la administración del agente GuardDuty de seguridad en su nombre mediante la configuración automatizada del agente para una AWS cuenta o una organización. GuardDuty comenzará a implementar el agente de seguridad en las nuevas tareas de Fargate que se lancen en sus clústeres de Amazon ECS. La siguiente lista especifica qué esperar cuando habilite el agente de GuardDuty seguridad.
Impacto de habilitar el agente GuardDuty de seguridad
- GuardDuty crea un grupo de seguridad y punto final de nube privada virtual (VPC)
-
-
Al implementar el agente de GuardDuty seguridad, GuardDuty creará un punto final de la VPC a través del cual el agente de seguridad entregará los eventos de tiempo de ejecución. GuardDuty
Junto con el punto de enlace de la VPC, GuardDuty también crea un nuevo grupo de seguridad. Las reglas de entrada (entrada) controlan el tráfico que puede llegar a los recursos asociados al grupo de seguridad. GuardDuty agrega reglas de entrada que coinciden con el rango de CIDR de la VPC de su recurso y también se adapta a él cuando cambia el rango de CIDR. Para obtener más información, consulte Rango de CIDR de la VPC en la Guía del usuario de Amazon VPC.
-
Trabajar con una VPC centralizada con un agente automatizado: cuando utilices la configuración GuardDuty automática de agentes para un tipo de recurso, GuardDuty crearemos un punto de enlace de la VPC en tu nombre para todas las VPC. Esto incluye la VPC centralizada y las VPC interconectadas. GuardDutyno admite la creación de un punto final de VPC solo para la VPC centralizada. Para obtener más información sobre cómo funciona la VPC centralizada, consulte los puntos de enlace de la VPC de interfaz en el AWS documento técnico: Creación de una infraestructura de red segura y escalable. Multi-VPC AWS
-
El uso del punto de conexión de VPC no conlleva ningún costo adicional.
-
- GuardDuty añade un contenedor con sidecar
-
Cuando una nueva tarea o servicio de Fargate comienza a ejecutarse, se adjunta un GuardDuty contenedor (sidecar) a cada contenedor de la tarea Fargate de Amazon ECS. El agente de GuardDuty seguridad se ejecuta dentro del contenedor adjunto. GuardDuty Esto ayuda GuardDuty a recopilar los eventos de tiempo de ejecución de cada contenedor que se ejecuta en estas tareas.
La imagen del contenedor GuardDuty sidecar se almacena en Amazon Elastic Container Registry (Amazon ECR) y sus capas de imágenes se almacenan en Amazon S3. Cuando comience la tarea, necesitará extraer esta imagen del ECR. Según la configuración de la red, esto puede requerir ajustes específicos para garantizar el acceso tanto al ECR como al S3. Por ejemplo, si se utilizan grupos de seguridad con acceso restringido, se tendrá que permitir el acceso a la lista de prefijos administrados de S3. Para obtener más información acerca de cómo hacerlo, consulte Requisitos previos para el acceso a imágenes de contenedores.
Al iniciar una tarea de Fargate, si el GuardDuty contenedor (sidecar) no puede ejecutarse en buen estado, la monitorización del tiempo de ejecución está diseñada para no impedir que las tareas se ejecuten.
De forma predeterminada, una tarea de Fargate es inmutable. GuardDuty no desplegará el sidecar cuando una tarea ya esté en ejecución. Si desea supervisar un contenedor en una tarea que ya está en ejecución, puede detener la tarea e iniciarla de nuevo.
Enfoques para gestionar los GuardDuty recursos de los agentes de seguridad en Amazon ECS-Fargate
La supervisión en tiempo de ejecución brinda la opción de detectar posibles amenazas a la seguridad en todos los clústeres de Amazon ECS (nivel de cuenta) o en clústeres concretos (nivel de clúster) en la cuenta. Cuando habilite la configuración automatizada de agentes para cada tarea de Amazon ECS, Fargate GuardDuty añadirá un contenedor secundario para cada carga de trabajo de contenedor incluida en esa tarea. El agente GuardDuty de seguridad se despliega en este contenedor de sidecar. Así es como GuardDuty se obtiene visibilidad del comportamiento en tiempo de ejecución de los contenedores dentro de las tareas de Amazon ECS.
La supervisión del tiempo de ejecución permite administrar el agente de seguridad de los clústeres de Amazon ECS (AWS Fargate) únicamente de forma directa GuardDuty. No se admite la administración manual del agente de seguridad en los clústeres de Amazon ECS.
Antes de configurar las cuentas, valore si desea supervisar el comportamiento en tiempo de ejecución de todos los contenedores que pertenecen a las tareas de Amazon ECS, o incluir o excluir recursos específicos. Tenga en cuenta los siguientes enfoques.
- Supervisión de todos los clústeres de Amazon ECS
-
Este enfoque ayudará a detectar posibles amenazas a la seguridad a nivel de cuenta. Utilice este enfoque cuando desee GuardDuty detectar posibles amenazas de seguridad para todos los clústeres de Amazon ECS que pertenecen a su cuenta.
- Exclusión de clústeres de Amazon ECS específicos
-
Utilice este enfoque cuando desee GuardDuty detectar posibles amenazas de seguridad en la mayoría de los clústeres de Amazon ECS de su AWS entorno, pero excluya algunos de los clústeres. Este enfoque ayuda a supervisar el comportamiento en tiempo de ejecución de los contenedores dentro de las tareas de Amazon ECS a nivel de clúster. Por ejemplo, la cantidad de clústeres de Amazon ECS que pertenecen a la cuenta es 1000. Sin embargo, solo desea supervisar 930 clústeres de Amazon ECS.
Este enfoque requiere que añada una GuardDuty etiqueta predefinida a los clústeres de Amazon ECS que no desea supervisar. Para obtener más información, consulte Administrar el agente de seguridad automatizado para Fargate (solo Amazon ECS).
- Incluir clústeres de Amazon ECS específicos
-
Utilice este enfoque cuando desee GuardDuty detectar posibles amenazas de seguridad para algunos de los clústeres de Amazon ECS. Este enfoque ayuda a supervisar el comportamiento en tiempo de ejecución de los contenedores dentro de las tareas de Amazon ECS a nivel de clúster. Por ejemplo, la cantidad de clústeres de Amazon ECS que pertenecen a la cuenta es 1000. Sin embargo, solo desea supervisar 230 clústeres.
Este enfoque requiere que añada una GuardDuty etiqueta predefinida a los clústeres de Amazon ECS que desea supervisar. Para obtener más información, consulte Administrar el agente de seguridad automatizado para Fargate (solo Amazon ECS).
