Requisitos previos para la compatibilidad con AWS Fargate (solo con Amazon ECS)

En esta sección se incluyen los requisitos previos para supervisar el comportamiento en tiempo de ejecución de los recursos de ECS de Fargate-Amazon. Una vez cumplidos estos requisitos previos, consulte Habilitar la Supervisión en tiempo de ejecución de GuardDuty.

Validación de los requisitos de arquitectura

La plataforma que utilice puede afectar a la forma en que el agente de seguridad de GuardDuty ayuda a GuardDuty a la hora de recibir los eventos en tiempo de ejecución de los clústeres de Amazon ECS. Debe validar que esté utilizando una de las plataformas verificadas.

Plataformas verificadas

La distribución del sistema operativo y la arquitectura de la CPU repercuten en la compatibilidad proporcionada por el agente de seguridad de GuardDuty. En la siguiente tabla aparece la configuración verificada para implementar el agente de seguridad de GuardDuty y configurar la Supervisión en tiempo de ejecución.

¹Compatibilidad con varios sistemas operativos: GuardDuty ha verificado que Runtime Monitoring es compatible con los sistemas operativos que aparecen en la tabla anterior. Si bien el agente de seguridad de GuardDuty puede funcionar en sistemas operativos que no figuran en la tabla anterior, el equipo de GuardDuty no puede garantizar el valor de seguridad esperado.

Requisitos previos para el acceso a imágenes de contenedores

Los siguientes requisitos previos ayudan a acceder a la imagen del contenedor de sidecar de GuardDuty desde el repositorio de Amazon ECR.

Requisitos de los permisos

El rol de ejecución de tareas requiere determinados permisos de Amazon Elastic Container Registry (Amazon ECR) para descargar la imagen del contenedor del agente de seguridad de GuardDuty:

...
      "ecr:GetAuthorizationToken",
      "ecr:BatchCheckLayerAvailability",
      "ecr:GetDownloadUrlForLayer",
      "ecr:BatchGetImage",
...

Para restringir aún más los permisos de Amazon ECR, puede agregar el URI del repositorio de Amazon ECR que aloja el agente de seguridad de GuardDuty para AWS Fargate (solo Amazon ECS). Para obtener más información, consulte Repositorio de Amazon ECR que aloja el agente de GuardDuty.

Puede utilizar la política administrada AmazonECSTaskExecutionRolePolicy o agregar los permisos anteriores a la política de TaskExecutionRole.

Configuración de definición de tareas

Al crear o actualizar los servicios de Amazon ECS, debe proporcionar información de subred en la definición de la tarea:

La ejecución de las API CreateService y UpdateService en la referencia de la API de Amazon Elastic Container Service requiere que se transmita la información de la subred. Para obtener más información, consulte las definiciones de tareas de Amazon ECS en la Guía para desarrolladores de Amazon Elastic Container Service.

Requisitos de conectividad de red

Debe garantizar la conectividad de red para descargar la imagen del contenedor de GuardDuty desde Amazon ECR. Este requisito es específico de GuardDuty porque utiliza Amazon ECR para alojar su agente de seguridad. En función de la configuración de red, tendrá que implementar una de las siguientes opciones:

Para obtener información sobre cómo habilitar Fargate para descargar el contenedor de GuardDuty, consulte Utilizar imágenes de Amazon ECR con Amazon ECS en la Guía del usuario de Amazon Elastic Container Registry.

Configuración del grupo de seguridad

Las imágenes del contenedor GuardDuty están en Amazon ECR y requieren acceso a Amazon S3. Este requisito es específico para descargar imágenes de contenedores de Amazon ECR. En el caso de las tareas con acceso restringido a la red, debe configurar sus grupos de seguridad para permitir el acceso a S3.

Agregue una regla de salida a su grupo de seguridad que permita el tráfico a la lista de prefijos administrados de S3 (pl-xxxxxxxx) en el puerto 443. Para agregar una regla de salida, consulte Configurar las reglas de un grupo de seguridad en la Guía del usuario de Amazon VPC.

Para ver las listas de prefijos administradas por AWS en la consola o describirlas mediante AWS Command Line Interface (AWS CLI), consulte las listas de prefijos administradas por AWS la Guía del usuario de Amazon VPC.

Validación de la política de control de servicios de la organización en un entorno de varias cuentas

En esta sección, se explica cómo validar la configuración de la política de control de servicios (SCP) para garantizar que Runtime Monitoring funcione según lo esperado en toda la organización.

Si ha configurado una o más políticas de control de servicio para administrar los permisos en la organización, debe validar que no niegue la acción guardduty:SendSecurityTelemetry. Para obtener información sobre cómo funcionan las SCP, consulte la evaluación de los SCP en la Guía del usuario de AWS Organizations.

Si es una cuenta de miembro, contacte al administrador delegado asociado. Para obtener información sobre cómo administrar las SCP para la organización, consulte Políticas de control de servicios (SCP) en la Guía del usuario de AWS Organizations.

Realice los siguientes pasos para todas las SCP que haya configurado en su entorno de cuentas múltiples:

Validación de permisos de roles y límites de permisos de políticas

Siga los siguientes pasos para validar que los límites de permisos asociados al rol y a su política no impliquen la acción guardduty:SendSecurityTelemetry de restricción.

Límites de CPU y memoria

En la definición de la tarea de Fargate, debe especificar el valor de CPU y memoria a nivel de tarea. En la siguiente tabla se indican las combinaciones válidas de valores de CPU y memoria a nivel de tarea, y el correspondiente límite máximo de memoria del agente de seguridad de GuardDuty para el contenedor de GuardDuty.

Después de habilitar la Supervisión en tiempo de ejecución y evaluar que la cobertura del clúster esté en buen estado, podrá configurar y ver las métricas de Información de contenedores. Para obtener más información, Configurar la supervisión en el clúster de Amazon ECS.

El siguiente paso consiste en configurar la Supervisión en tiempo de ejecución, así como el agente de seguridad.