View a markdown version of this page

Copertura in fase di runtime e risoluzione dei problemi per l'istanza Amazon EC2 - Amazon GuardDuty
Revisione delle statistiche di coperturaModifica dello stato di copertura con notifiche EventBridgeRisoluzione dei problemi di copertura del runtime di Amazon EC2

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Copertura in fase di runtime e risoluzione dei problemi per l'istanza Amazon EC2

Per una risorsa Amazon EC2, la copertura del runtime viene valutata a livello di istanza. Le tue istanze Amazon EC2 possono eseguire diversi tipi di applicazioni e carichi di lavoro, tra gli altri, nel tuo ambiente. AWS Questa funzionalità supporta anche le istanze Amazon EC2 gestite da Amazon ECS e se hai cluster Amazon ECS in esecuzione su un'istanza Amazon EC2, i problemi di copertura a livello di istanza verranno visualizzati nella copertura del runtime di Amazon EC2.

Revisione delle statistiche di copertura

Le statistiche di copertura per le istanze Amazon EC2 associate ai tuoi account o ai tuoi account membri sono la percentuale delle istanze EC2 integre su tutte le istanze EC2 selezionate. Regione AWS L'equazione seguente rappresenta questa percentuale come:

(Istanze integre) *100 instances/All

Se hai distribuito anche l'agente di GuardDuty sicurezza per i tuoi cluster Amazon ECS, qualsiasi problema di copertura a livello di istanza associato ai cluster Amazon ECS in esecuzione su un'istanza Amazon EC2 verrà visualizzato come problema di copertura del runtime dell'istanza Amazon EC2.

Scegli uno dei metodi di accesso per esaminare le statistiche di copertura dei tuoi account.

Console

  • Accedi a e apri la console all'indirizzo. Console di gestione AWS GuardDuty https://console.aws.amazon.com/guardduty/

  • Nel pannello di navigazione, scegli Runtime Monitoring.

  • Scegli la scheda Runtime coverage.

  • Nella scheda Copertura del runtime delle istanze EC2, puoi visualizzare le statistiche di copertura aggregate in base allo stato di copertura di ciascuna istanza Amazon EC2 disponibile nella tabella con l'elenco delle istanze.

    • Puoi filtrare la tabella dell'elenco delle istanze in base alle seguenti colonne:

      • ID account

      • Tipo di gestione dell'agente

      • Versione dell'agente

      • Stato copertura

      • ID dell'istanza

      • ARN del cluster

  • Se una delle tue istanze EC2 ha lo stato di copertura non integro, la colonna Problema include informazioni aggiuntive sul motivo dello stato Non integro.

API/CLI

  • Esegui l'ListCoverageAPI con il tuo ID rilevatore valido, la regione corrente e l'endpoint di servizio. Puoi filtrare e ordinare l'elenco delle istanze utilizzando questa API.

    • Puoi modificare il filter-criteria di esempio con una delle opzioni seguenti per CriterionKey:

      • ACCOUNT_ID

      • RESOURCE_TYPE

      • COVERAGE_STATUS

      • AGENT_VERSION

      • MANAGEMENT_TYPE

      • INSTANCE_ID

      • CLUSTER_ARN

    • Quando filter-criteria include RESOURCE_TYPE come EC2, Runtime Monitoring non supporta l'uso di ISSUE come. AttributeName Se lo usi, la risposta dell'API risulterà. InvalidInputException

      Puoi modificare il AttributeName di esempio in sort-criteria con una delle opzioni seguenti:

      • ACCOUNT_ID

      • COVERAGE_STATUS

      • INSTANCE_ID

      • UPDATED_AT

    • È possibile modificare il max-results valore (fino a 50).

    • Per trovare le detectorId impostazioni relative al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/ console o esegui l'ListDetectorsAPI.

    aws guardduty --region us-east-1 list-coverage --detector-id 12abc34d567e8fa901bc2d34e56789f0 --sort-criteria '{"AttributeName": "EKS_CLUSTER_NAME", "OrderBy": "DESC"}' --filter-criteria '{"FilterCriterion":[{"CriterionKey":"ACCOUNT_ID", "FilterCondition":{"EqualsValue":"111122223333"}}] }'  --max-results 5

  • Esegui l'GetCoverageStatisticsAPI per recuperare le statistiche aggregate sulla copertura in base a. statisticsType

    • Puoi modificare il statisticsType di esempio con una delle opzioni seguenti:

      • COUNT_BY_COVERAGE_STATUS: rappresenta le statistiche di copertura per i cluster EKS aggregate per stato di copertura.

      • COUNT_BY_RESOURCE_TYPE— Statistiche sulla copertura aggregate in base al tipo di AWS risorsa nell'elenco.

      • È possibile modificare il filter-criteria di esempio nel comando. Puoi utilizzare le seguenti opzioni per CriterionKey:

        • ACCOUNT_ID

        • RESOURCE_TYPE

        • COVERAGE_STATUS

        • AGENT_VERSION

        • MANAGEMENT_TYPE

        • INSTANCE_ID

        • CLUSTER_ARN

    • Per trovare le informazioni detectorId relative al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/ console o esegui l'ListDetectorsAPI.

    aws guardduty --region us-east-1 get-coverage-statistics --detector-id 12abc34d567e8fa901bc2d34e56789f0 --statistics-type COUNT_BY_COVERAGE_STATUS --filter-criteria '{"FilterCriterion":[{"CriterionKey":"ACCOUNT_ID", "FilterCondition":{"EqualsValue":"123456789012"}}] }'

Se lo stato di copertura della tua istanza EC2 non è integro, consulta. Risoluzione dei problemi di copertura del runtime di Amazon EC2

Modifica dello stato di copertura con notifiche EventBridge

Lo stato di copertura della tua istanza Amazon EC2 potrebbe apparire non integro. Per sapere quando cambia lo stato della copertura, ti consigliamo di monitorare periodicamente lo stato della copertura e di risolvere i problemi se lo stato diventa non integro. In alternativa, puoi creare una EventBridge regola Amazon per ricevere una notifica quando lo stato della copertura cambia da Non integro a Integro o in altro modo. Per impostazione predefinita, GuardDuty lo pubblica nel EventBridge bus del tuo account.

Schema di esempio delle notifiche

EventBridge Di norma, è possibile utilizzare gli eventi di esempio e i modelli di eventi predefiniti per ricevere una notifica sullo stato della copertura. Per ulteriori informazioni sulla creazione di una EventBridge regola, consulta Create rule nella Amazon EventBridge User Guide.

Inoltre, puoi creare un pattern di eventi personalizzato utilizzando lo schema di esempio delle notifiche seguente. Assicurati di sostituire i valori per il tuo account. Per ricevere una notifica quando lo stato di copertura della tua istanza Amazon EC2 cambia da Healthy aUnhealthy, detail-type dovrebbe esserloGuardDuty Runtime Protection Unhealthy. Per ricevere una notifica quando lo stato della copertura cambia da Unhealthy aHealthy, sostituisci il valore di detail-type withGuardDuty Runtime Protection Healthy.

{
  "version": "0",
  "id": "event ID",
  "detail-type": "GuardDuty Runtime Protection Unhealthy",
  "source": "aws.guardduty",
  "account": "Account AWS ID",
  "time": "event timestamp (string)",
  "region": "Regione AWS",
  "resources": [
       ],
  "detail": {
    "schemaVersion": "1.0",
    "resourceAccountId": "string",
    "currentStatus": "string",
    "previousStatus": "string",
    "resourceDetails": {
        "resourceType": "EC2",
        "ec2InstanceDetails": {
          "instanceId":"",
          "instanceType":"",
          "clusterArn": "",
          "agentDetails": {
            "version":""
          },
          "managementType":""
        }
    },
    "issue": "string",
    "lastUpdatedAt": "timestamp"
  }
}

Risoluzione dei problemi di copertura del runtime di Amazon EC2

Se lo stato di copertura della tua istanza Amazon EC2 non è integro, puoi visualizzarne il motivo nella colonna Problema.

Se la tua istanza EC2 è associata a un cluster EKS e l'agente di sicurezza per EKS è stato installato manualmente o tramite una configurazione automatica dell'agente, per risolvere il problema di copertura, consulta. Copertura del runtime e risoluzione dei problemi per i cluster Amazon EKS

La tabella seguente elenca i tipi di problemi e le relative fasi di risoluzione dei problemi.

Tipo di problema Messaggio relativo al problema Fasi per la risoluzione dei problemi

Nessuna segnalazione da parte degli agenti

In attesa della notifica SSM

La ricezione della notifica SSM potrebbe richiedere alcuni minuti.

Assicurati che l'istanza Amazon EC2 sia gestita tramite SSM. Per ulteriori informazioni, consulta la procedura riportata in Metodo 1 - Utilizzando AWS Systems Manager in. Installazione manuale del security agent

(Vuoto apposta)

Se gestisci il GuardDuty security agent manualmente, assicurati di aver seguito i passaggi seguentiGestione manuale dell'agente di sicurezza per le risorse Amazon EC2.

Se hai abilitato la configurazione automatica dell'agente:

Verifica che l'endpoint VPC per la tua istanza Amazon EC2 sia configurato correttamente. Per ulteriori informazioni, consulta Convalida della configurazione degli endpoint VPC.

Se la tua organizzazione ha una policy di controllo dei servizi (SCP), verifica che il limite delle autorizzazioni non limiti le autorizzazioni. guardduty:SendSecurityTelemetry Per ulteriori informazioni, consulta Convalida della politica di controllo dei servizi della tua organizzazione in un ambiente con più account.

Agente disconnesso

  • Visualizza lo stato del tuo agente di sicurezza. Per ulteriori informazioni, consulta Convalida dello stato di installazione del GuardDuty security agent.

  • Visualizza i log del security agent per identificare la potenziale causa principale. I log forniscono errori dettagliati che puoi utilizzare per risolvere tu stesso il problema. I file di registro sono disponibili in. /var/log/amzn-guardduty-agent/

    Faresudo journalctl -u amazon-guardduty-agent.

Agente non incaricato

Le istanze con tag di esclusione sono escluse dal Runtime Monitoring.

GuardDuty non riceve eventi di runtime dalle istanze Amazon EC2 avviate con il tag di esclusione:. GuardDutyManaged false

Per ricevere eventi di runtime da questa istanza Amazon EC2, rimuovi il tag di esclusione.

La versione del kernel è inferiore alla versione supportata.

Per informazioni sulle versioni del kernel supportate nelle distribuzioni del sistema operativo, consulta le Convalida i requisiti architetturali istanze Amazon EC2.

La versione del kernel è superiore alla versione supportata.

Per informazioni sulle versioni del kernel supportate nelle distribuzioni del sistema operativo, consulta le Convalida i requisiti architetturali istanze Amazon EC2.

Impossibile recuperare il documento di identità dell'istanza.

Completare la procedura riportata di seguito.

  1. Verifica che la tua risorsa sia un'istanza Amazon EC2 e non un'istanza ibrida non EC2.

  2. Verifica che Instance Metadata Service (IMDS) sia abilitato. A tale scopo, consulta le opzioni di Configure Instance Metadata Service nella Amazon EC2 User Guide.

  3. Verifica che il documento di identità dell'istanza esista. A tale scopo, consulta Recupera il documento di identità dell'istanza nella Amazon EC2 User Guide.

  4. Se il documento di identità dell'istanza continua a non esistere, riavvia l'istanza. Il documento di identità dell'istanza viene generato quando l'istanza viene arrestata e avviata, riavviata o avviata.

Creazione dell'associazione SSM non riuscita

GuardDuty L'associazione SSM esiste già nel tuo account

  1. Elimina manualmente l'associazione esistente. Per ulteriori informazioni, vedere Eliminazione delle associazioni nella Guida per l'AWS Systems Manager utente.

  2. Dopo aver eliminato l'associazione, disabilita e riattiva la configurazione GuardDuty automatica degli agenti per Amazon EC2.

Il tuo account ha troppe associazioni SSM

Scegli una delle due opzioni seguenti:

  • Elimina tutte le associazioni SSM non utilizzate. Per ulteriori informazioni, vedere Eliminazione delle associazioni nella Guida per l'AWS Systems Manager utente.

  • Verifica se il tuo account è idoneo per un aumento della quota. Per ulteriori informazioni, vedere le quote del servizio di Systems Manager nel Riferimenti generali di AWS.

Aggiornamento dell'associazione SSM non riuscito

GuardDuty L'associazione SSM non esiste nel tuo account

GuardDuty L'associazione SSM non è presente nel tuo account. Disattiva e riattiva Runtime Monitoring.

Eliminazione dell'associazione SSM non riuscita

GuardDuty L'associazione SSM non esiste nel tuo account

L'associazione SSM non è presente nel tuo account. Se l'associazione SSM è stata eliminata intenzionalmente, non è necessaria alcuna azione.

Esecuzione dell'associazione all'istanza SSM non riuscita

I requisiti architettonici o altri prerequisiti non sono soddisfatti.

Per informazioni sulle distribuzioni verificate del sistema operativo, vedere. Prerequisiti per il supporto delle istanze Amazon EC2

Se il problema persiste, i passaggi seguenti ti aiuteranno a identificare e potenzialmente risolvere il problema:

  1. Apri la AWS Systems Manager console all'indirizzo https://console.aws.amazon.com/systems-manager/.

  2. Nel pannello di navigazione, in Gestione dei nodi, seleziona State Manager.

  3. Filtra per proprietà Document Name e inserisci AmazonGuardDuty-ConfigureRuntimeMonitoringSsmPlugin.

  4. Seleziona l'ID dell'associazione corrispondente e visualizzane la cronologia di esecuzione.

  5. Utilizzando la cronologia delle esecuzioni, visualizza gli errori, identifica la potenziale causa principale e prova a risolverla.

Creazione dell'endpoint VPC non riuscita

La creazione di endpoint VPC non è supportata per il VPC condiviso vpcId

Runtime Monitoring supporta l'uso di un VPC condiviso all'interno di un'organizzazione. Per ulteriori informazioni, consulta Utilizzo di un VPC condiviso con Runtime Monitoring.

Solo quando si utilizza un VPC condiviso con configurazione automatica degli agenti

L'ID 111122223333 dell'account proprietario del VPC condiviso vpcId non ha né il monitoraggio del runtime, né la configurazione automatica degli agenti, né entrambi abilitati

 L'account proprietario del VPC condiviso deve abilitare il monitoraggio del runtime e la configurazione automatica degli agenti per almeno un tipo di risorsa (Amazon EKS o Amazon ECS ())AWS Fargate. Per ulteriori informazioni, consulta Prerequisiti specifici per il monitoraggio del runtime GuardDuty.

L'attivazione del DNS privato richiede entrambi gli enableDnsSupport attributi enableDnsHostnames VPC impostati su true for vpcId (Service: Ec2, Status Code:400, Request ID:). a1b2c3d4-5678-90ab-cdef-EXAMPLE11111

Assicurati che i seguenti attributi VPC siano impostati su true – enableDnsSupport e enableDnsHostnames. Per ulteriori informazioni, consulta Attributi DNS nel VPC.

Se stai utilizzando la console Amazon VPC all'indirizzo https://console.aws.amazon.com/vpc/ per creare Amazon VPC, seleziona Enable DNS hostnames e Enable DNS resolution. Per ulteriori informazioni, consulta Opzioni di configurazione del VPC.

Dopo aver aggiornato gli attributi VPC, devi accelerare un nuovo tentativo di creazione dell'endpoint VPC apportando una delle seguenti modifiche:

  • Puoi aggiungere o modificare il GuardDutyManaged tag per la tua istanza Amazon EC2 (consigliato). Ad esempio, puoi aggiungereGuardDutyManaged: true per includere l'istanza per il monitoraggio del runtime.

  • Puoi modificare lo stato dell'istanza Amazon EC2 (arresto o riavvio).

Eliminazione dell'endpoint VPC condiviso non riuscita

L'eliminazione dell'endpoint VPC condiviso non è consentita per ID account, VPC condiviso111122223333, ID account proprietario. vpcId 555555555555
Potenziali passaggi:

  • La disabilitazione dello stato di Runtime Monitoring dell'account partecipante al VPC condiviso non influisce sulla politica degli endpoint VPC condivisi e sul gruppo di sicurezza esistente nell'account proprietario.

    Per eliminare l'endpoint VPC condiviso e il gruppo di sicurezza, è necessario disabilitare il monitoraggio del runtime o lo stato di configurazione automatica dell'agente nell'account proprietario del VPC condiviso.

  • L'account partecipante al VPC condiviso non può eliminare l'endpoint VPC condiviso e il gruppo di sicurezza ospitati nell'account proprietario del VPC condiviso.

Agente che non effettua segnalazioni

(Vuoto apposta)

Il tipo di problema ha raggiunto la fine del supporto. Se continui a riscontrare questo problema e non lo hai già fatto, abilita l'agente GuardDuty automatico per Amazon EC2.

Se il problema persiste, valuta la possibilità di disattivare Runtime Monitoring per alcuni minuti e quindi riattivarlo.