Riparazione di un punto di ripristino EC2 potenzialmente compromesso - Amazon GuardDuty

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Riparazione di un punto di ripristino EC2 potenzialmente compromesso

Quando GuardDuty genera un'esecuzione:EC2/! MaliciousFile RecoveryPoint individuando il tipo, indica che è stato rilevato del malware in una risorsa di EC2 Recovery Point Backup. Esegui i seguenti passaggi per correggere il punto di ripristino potenzialmente compromesso:

  1. Identifica il punto di ripristino EC2 potenzialmente compromesso

    1. Una GuardDuty scoperta per EC2 Recovery Point elencherà il suo Amazon Resource Name (ARN) e i dettagli della scansione del malware associata nei dettagli del risultato:

      aws backup describe-recovery-point --backup-vault-name 021345abcdef6789 --recovery-point-arn "arn:aws:backup:us-east-1:111122223333:recovery-point:a1b2c3d4-5678-90ab-cdef-EXAMPLE11111"

    2. Consulta i dettagli di ripristino per cercare l'immagine sorgente:

      aws backup get-recovery-point-restore-metadata --backup-vault-name 021345abcdef6789 --recovery-point-arn "arn:aws:backup:us-east-1:111122223333:recovery-point:a1b2c3d4-5678-90ab-cdef-EXAMPLE11111"

  2. Limita l'accesso alle risorse compromesse

    • Rivedi e modifica le politiche di accesso al backup vault per limitare l'accesso ai punti di ripristino e sospendere qualsiasi processo di ripristino automatico che potrebbe utilizzare questo punto di ripristino. Se il tuo ambiente utilizza l'etichettatura delle risorse, contrassegna il punto di ripristino in modo appropriato per indicare che è oggetto di indagine e valuta la possibilità di sospendere i backup pianificati, se necessario.

      Esempio:

      aws backup tag-resource -—resource-arn arn:aws:backup:us-east-1:111122223333:recovery-point:a1b2c3d4-5678-90ab-cdef-EXAMPLE11111 -—tags Investigation=Malware,DoNotDelete=True

  3. Intraprendi azioni correttive

    • Prima di procedere con l'eliminazione, assicurati di aver identificato tutte le dipendenze e di disporre di backup adeguati, se necessario.