View a markdown version of this page

Behebung eines potenziell kompromittierten EBS-Snapshots - Amazon GuardDuty

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Behebung eines potenziell kompromittierten EBS-Snapshots

Wann generiert ein! GuardDuty Execution:EC2/MaliciousFile Der Typ des Snapshot-Findens gibt an, dass in einem Amazon EBS-Snapshot Malware erkannt wurde. Führen Sie die folgenden Schritte aus, um den potenziell kompromittierten Snapshot zu beheben:

  1. Identifizieren Sie den potenziell gefährdeten Snapshot

    1. Identifizieren Sie den potenziell kompromittierten Snapshot. Bei der GuardDuty Suche nach einem EBS-Snapshot werden die betroffene Snapshot-ID, der Amazon-Ressourcenname (ARN) und die zugehörigen Malware-Scan-Details in den Funddetails aufgeführt.

    2. Überprüfen Sie die Details des Wiederherstellungspunkts mit dem folgenden Befehl:

      aws backup describe-recovery-point —backup-vault-name 021345abcdef6789 —recovery-point-arn "arn:aws:ec2:us-east-1::snapshot/snap-abcdef01234567890"

  2. Beschränken Sie den Zugriff auf den kompromittierten Snapshot

    Überprüfen und ändern Sie die Richtlinien für den Zugriff auf den Backup-Tresor, um den Zugriff auf den Recovery Point einzuschränken und alle automatisierten Wiederherstellungsaufträge auszusetzen, die diesen Snapshot möglicherweise verwenden.

    1. Überprüfen Sie die aktuellen Freigabeberechtigungen: 

      aws ec2 describe-snapshot-attribute --snapshot-id snap-abcdef01234567890 --attribute createVolumePermission

    2. Bestimmte Kontozugriffe entfernen: 

      aws ec2 modify-snapshot-attribute --snapshot-id snap-abcdef01234567890 --attribute createVolumePermission --operation-type remove --user-ids 111122223333

    3. Weitere CLI-Optionen finden Sie in der CLI-Dokumentation zu modify-snapshot-attribute.

  3. Ergreifen Sie Abhilfemaßnahmen

    • Bevor Sie mit dem Löschen fortfahren, stellen Sie sicher, dass Sie alle Abhängigkeiten identifiziert haben und bei Bedarf über geeignete Backups verfügen.