View a markdown version of this page

Remédier à une AMI EC2 potentiellement compromise - Amazon GuardDuty

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Remédier à une AMI EC2 potentiellement compromise

Quand GuardDuty génère un Execution:EC2/MaliciousFile ! Type de recherche AMI, il indique qu'un logiciel malveillant a été détecté dans une Amazon Machine Image (AMI). Effectuez les étapes suivantes pour corriger l'AMI potentiellement compromise :

  1. Identifiez l'AMI potentiellement compromise

    1. Une GuardDuty recherche pour les AMI indiquera l'ID d'AMI concerné, son Amazon Resource Name (ARN) et les détails de l'analyse des programmes malveillants associés dans les détails de la recherche.

    2. Vérifiez l'image source de l'AMI :

      aws ec2 describe-images --image-ids ami-021345abcdef6789

  2. Restreindre l'accès aux ressources compromises

    1. Passez en revue et modifiez les politiques d'accès au coffre-fort de sauvegarde afin de restreindre l'accès au point de restauration et de suspendre toutes les tâches de restauration automatisées susceptibles d'utiliser ce point de restauration.

    2. Supprimer les autorisations des autorisations de l'AMI source

      Consultez d'abord les autorisations existantes : 

      aws ec2 describe-image-attribute --image-id ami-abcdef01234567890 --attribute launchPermission

      Supprimez ensuite les autorisations individuelles : 

      aws ec2 modify-image-attribute --image-id ami-abcdef01234567890 --launch-permission '{"Remove":[{"UserId":"111122223333"}]}'

      Pour des options de CLI supplémentaires, voir Partager une AMI avec des comptes spécifiques - Amazon Elastic Compute Cloud

    3. Si la source est une instance EC2, voir : Remédier à une instance Amazon EC2 potentiellement compromise.

  3. Prendre des mesures correctives

    • Avant de procéder à la suppression, assurez-vous d'avoir identifié toutes les dépendances et de disposer de sauvegardes appropriées si nécessaire.