View a markdown version of this page

Correzione di un punto di ripristino EC2 potenzialmente compromesso - Amazon GuardDuty

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Correzione di un punto di ripristino EC2 potenzialmente compromesso

Quando genera un! GuardDuty Execution:EC2/MaliciousFile RecoveryPoint tipo di ricerca, indica che è stato rilevato un malware in una risorsa EC2 Recovery Point Backup. Esegui i passaggi seguenti per rimediare al punto di ripristino potenzialmente compromesso:

  1. Identifica il punto di ripristino EC2 potenzialmente compromesso

    1. Un GuardDuty risultato relativo a EC2 Recovery Point indicherà il relativo Amazon Resource Name (ARN) e i dettagli della scansione del malware associato nei dettagli del risultato:

      aws backup describe-recovery-point --backup-vault-name 021345abcdef6789 --recovery-point-arn "arn:aws:backup:us-east-1:111122223333:recovery-point:a1b2c3d4-5678-90ab-cdef-EXAMPLE11111"

    2. Controlla i dettagli del ripristino per cercare l'immagine di origine:

      aws backup get-recovery-point-restore-metadata --backup-vault-name 021345abcdef6789 --recovery-point-arn "arn:aws:backup:us-east-1:111122223333:recovery-point:a1b2c3d4-5678-90ab-cdef-EXAMPLE11111"

  2. Limita l'accesso alle risorse compromesse

    • Rivedi e modifica le politiche di accesso al backup vault per limitare l'accesso ai punti di ripristino e sospendere eventuali processi di ripristino automatici che potrebbero utilizzare questo punto di ripristino. Se il tuo ambiente utilizza la codifica delle risorse, contrassegna il punto di ripristino in modo appropriato per indicare che è sotto esame e valuta la possibilità di sospendere i backup pianificati, se necessario.

      Esempio:

      aws backup tag-resource -—resource-arn arn:aws:backup:us-east-1:111122223333:recovery-point:a1b2c3d4-5678-90ab-cdef-EXAMPLE11111 -—tags Investigation=Malware,DoNotDelete=True

  3. Intraprendi azioni correttive

    • Prima di procedere con l'eliminazione, assicurati di aver identificato tutte le dipendenze e di disporre di backup adeguati, se necessario.