View a markdown version of this page

Laufzeitabdeckung und Problembehandlung für die Amazon EC2-Instance - Amazon GuardDuty
Überprüfen der AbdeckungsstatistikenÄnderung des Abdeckungsstatus durch Benachrichtigungen EventBridgeBehebung von Problemen mit der Amazon EC2-Laufzeitabdeckung

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Laufzeitabdeckung und Problembehandlung für die Amazon EC2-Instance

Für eine Amazon EC2-Ressource wird die Laufzeitabdeckung auf Instance-Ebene bewertet. Ihre Amazon EC2-Instances können unter anderem mehrere Arten von Anwendungen und Workloads in Ihrer Umgebung ausführen. AWS Diese Funktion unterstützt auch von Amazon ECS verwaltete Amazon EC2-Instances. Wenn Sie Amazon ECS-Cluster auf einer Amazon EC2-Instance ausführen, werden die Abdeckungsprobleme auf Instance-Ebene unter Amazon EC2-Runtime Coverage angezeigt.

Überprüfen der Abdeckungsstatistiken

Die Abdeckungsstatistik für die Amazon EC2-Instances, die Ihren eigenen Konten oder Ihren Mitgliedskonten zugeordnet sind, gibt den Prozentsatz der fehlerfreien EC2-Instances an allen EC2-Instances in der ausgewählten Instanz an. AWS-Region Die folgende Gleichung stellt dies wie folgt dar:

(Fehlerfreie Instanzen) *100 instances/All

Wenn Sie auch den GuardDuty Security Agent für Ihre Amazon ECS-Cluster bereitgestellt haben, wird jedes Problem mit der Abdeckung auf Instance-Ebene im Zusammenhang mit Amazon ECS-Clustern, die auf einer Amazon EC2-Instance ausgeführt werden, als Problem mit der Amazon EC2-Instance-Laufzeit angezeigt.

Wählen Sie eine der Zugriffsmethoden, um die Abdeckungsstatistiken für Ihre Konten einzusehen.

Console

  • Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die GuardDuty Konsole unter. https://console.aws.amazon.com/guardduty/

  • Wählen Sie im Navigationsbereich Runtime Monitoring aus.

  • Wählen Sie die Registerkarte Runtime Coverage.

  • Auf der Registerkarte „EC2-Instance Runtime Coverage“ können Sie die Coverage-Statistiken einsehen, die nach dem Coverage-Status aller Amazon EC2-Instances zusammengefasst sind, die in der Instance-Listentabelle verfügbar sind.

    • Sie können die Instance-Listentabelle nach den folgenden Spalten filtern:

      • Konto-ID

      • Agentenverwaltungs-Typ

      • Version des Agenten

      • Abdeckungsstatus

      • Instanz-ID

      • Cluster-ARN

  • Wenn eine Ihrer EC2-Instances den Coverage-Status als Ungesund hat, enthält die Spalte Problem zusätzliche Informationen zum Grund für den Status Ungesund.

API/CLI

  • Führen Sie die ListCoverage API mit Ihrer eigenen gültigen Detektor-ID, Ihrer aktuellen Region und Ihrem Service-Endpunkt aus. Mit dieser API können Sie die Instanzliste filtern und sortieren.

    • Sie können das Beispiel filter-criteria ändern mit einer der folgenden Optionen für CriterionKey:

      • ACCOUNT_ID

      • RESOURCE_TYPE

      • COVERAGE_STATUS

      • AGENT_VERSION

      • MANAGEMENT_TYPE

      • INSTANCE_ID

      • CLUSTER_ARN

    • Wenn die RESOURCE_TYPE als EC2 filter-criteria enthalten ist, unterstützt Runtime Monitoring die Verwendung von ISSUE als. AttributeName Wenn Sie es verwenden, wird die API-Antwort zu folgendem Ergebnis führen. InvalidInputException

      Sie können das Beispiel AttributeName in sort-criteria ändern mit einer der folgenden Optionen:

      • ACCOUNT_ID

      • COVERAGE_STATUS

      • INSTANCE_ID

      • UPDATED_AT

    • Sie können das ändern max-results (bis zu 50).

    • Informationen zu Ihrem Konto und Ihrer aktuellen Region finden Sie auf der Seite „Einstellungen“ in der https://console.aws.amazon.com/guardduty/ Konsole oder führen Sie die ListDetectors API aus. detectorId

    aws guardduty --region us-east-1 list-coverage --detector-id 12abc34d567e8fa901bc2d34e56789f0 --sort-criteria '{"AttributeName": "EKS_CLUSTER_NAME", "OrderBy": "DESC"}' --filter-criteria '{"FilterCriterion":[{"CriterionKey":"ACCOUNT_ID", "FilterCondition":{"EqualsValue":"111122223333"}}] }'  --max-results 5

  • Führen Sie die GetCoverageStatistics API aus, um aggregierte Statistiken zur Abdeckung abzurufen, die statisticsType auf dem basieren.

    • Sie können das Beispiel statisticsType zu einer der folgenden Optionen ändern:

      • COUNT_BY_COVERAGE_STATUS – Stellt Abdeckungsstatistiken für EKS-Cluster dar, aggregiert nach Abdeckungs-Status.

      • COUNT_BY_RESOURCE_TYPE— Abdeckungsstatistiken, aggregiert auf der Grundlage des AWS Ressourcentyps in der Liste.

      • Sie können das Beispiel filter-criteria im Befehl ändern. Sie können die folgenden Optionen für CriterionKey verwenden:

        • ACCOUNT_ID

        • RESOURCE_TYPE

        • COVERAGE_STATUS

        • AGENT_VERSION

        • MANAGEMENT_TYPE

        • INSTANCE_ID

        • CLUSTER_ARN

    • Informationen zu Ihrem Konto und Ihrer aktuellen Region finden Sie auf der Seite „Einstellungen“ in der https://console.aws.amazon.com/guardduty/ Konsole oder führen Sie die ListDetectors API aus. detectorId

    aws guardduty --region us-east-1 get-coverage-statistics --detector-id 12abc34d567e8fa901bc2d34e56789f0 --statistics-type COUNT_BY_COVERAGE_STATUS --filter-criteria '{"FilterCriterion":[{"CriterionKey":"ACCOUNT_ID", "FilterCondition":{"EqualsValue":"123456789012"}}] }'

Wenn der Abdeckungsstatus Ihrer EC2-Instance Ungesund ist, finden Sie weitere Informationen unter. Behebung von Problemen mit der Amazon EC2-Laufzeitabdeckung

Änderung des Abdeckungsstatus durch Benachrichtigungen EventBridge

Der Abdeckungsstatus Ihrer Amazon EC2-Instance wird möglicherweise als Ungesund angezeigt. Um zu erfahren, wann sich der Abdeckungsstatus ändert, empfehlen wir Ihnen, den Abdeckungsstatus regelmäßig zu überwachen und Fehler zu beheben, wenn der Status Ungesund wird. Alternativ können Sie eine EventBridge Amazon-Regel erstellen, um eine Benachrichtigung zu erhalten, wenn sich der Deckungsstatus von Ungesund zu Gesund oder auf andere Weise ändert. Veröffentlichen Sie GuardDuty dies standardmäßig im EventBridge Bus für Ihr Konto.

Beispiel für ein Benachrichtigungsschema

In einer EventBridge Regel können Sie anhand der vordefinierten Beispielereignisse und Ereignismuster eine Benachrichtigung über den Versorgungsstatus erhalten. Weitere Informationen zum Erstellen einer EventBridge Regel finden Sie unter Regel erstellen im EventBridge Amazon-Benutzerhandbuch.

Darüber hinaus können Sie mithilfe des folgenden Beispiel-Benachrichtigungsschemas ein benutzerdefiniertes Ereignismuster erstellen. Achten Sie darauf, die Werte für Ihr Konto zu ersetzen. Um benachrichtigt zu werden, wenn sich der Abdeckungsstatus Ihrer Amazon EC2-Instance von Healthy auf ändertUnhealthy, detail-type sollte der seinGuardDuty Runtime Protection Unhealthy. Um benachrichtigt zu werden, wenn sich der Abdeckungsstatus von Unhealthy zu ändertHealthy, ersetzen Sie den Wert von detail-type durchGuardDuty Runtime Protection Healthy.

{
  "version": "0",
  "id": "event ID",
  "detail-type": "GuardDuty Runtime Protection Unhealthy",
  "source": "aws.guardduty",
  "account": "AWS-Konto ID",
  "time": "event timestamp (string)",
  "region": "AWS-Region",
  "resources": [
       ],
  "detail": {
    "schemaVersion": "1.0",
    "resourceAccountId": "string",
    "currentStatus": "string",
    "previousStatus": "string",
    "resourceDetails": {
        "resourceType": "EC2",
        "ec2InstanceDetails": {
          "instanceId":"",
          "instanceType":"",
          "clusterArn": "",
          "agentDetails": {
            "version":""
          },
          "managementType":""
        }
    },
    "issue": "string",
    "lastUpdatedAt": "timestamp"
  }
}

Behebung von Problemen mit der Amazon EC2-Laufzeitabdeckung

Wenn der Abdeckungsstatus Ihrer Amazon EC2-Instance fehlerhaft ist, können Sie den Grund in der Spalte Problem einsehen.

Wenn Ihre EC2-Instance einem EKS-Cluster zugeordnet ist und der Security Agent für EKS entweder manuell oder über die automatische Agentenkonfiguration installiert wurde, finden Sie Informationen zur Behebung des Abdeckungsproblems unter. Laufzeitabdeckung und Problembehandlung für Amazon EKS-Cluster

In der folgenden Tabelle sind die Problemtypen und die entsprechenden Schritte zur Fehlerbehebung aufgeführt.

Art des Problems Meldung ausgeben Fehlerbehebungsschritte

Keine Agentenberichterstattung

Ich warte auf eine SSM-Benachrichtigung

Das Empfangen der SSM-Benachrichtigung kann einige Minuten dauern.

Stellen Sie sicher, dass die Amazon EC2-Instance SSM-verwaltet wird. Weitere Informationen finden Sie in den Schritten unter Methode 1 — Mithilfe des AWS Systems Managers unter. Manuelles Installieren des Security Agents

(Absichtlich leer)

Wenn Sie den GuardDuty Security Agent manuell verwalten, stellen Sie sicher, dass Sie die Schritte unter befolgt habenManuelles Verwalten des Security Agents für die Amazon EC2-Ressource.

Wenn Sie die automatische Agentenkonfiguration aktiviert haben:

Stellen Sie sicher, dass der VPC-Endpunkt für Ihre Amazon EC2-Instance korrekt konfiguriert ist. Weitere Informationen finden Sie unter Validierung der VPC-Endpunktkonfiguration.

Wenn Ihre Organisation über eine Service Control Policy (SCP) verfügt, stellen Sie sicher, dass die Berechtigungsgrenze die Berechtigung nicht einschränkt. guardduty:SendSecurityTelemetry Weitere Informationen finden Sie unter Validierung der Service Control-Richtlinie Ihres Unternehmens in einer Umgebung mit mehreren Konten.

Die Verbindung zum Agenten wurde unterbrochen

  • Sehen Sie sich den Status Ihres Security Agents an. Weitere Informationen finden Sie unter Überprüfung des Installationsstatus des GuardDuty Security Agents.

  • Sehen Sie sich die Security Agent-Protokolle an, um die potenzielle Ursache zu ermitteln. Die Protokolle enthalten detaillierte Fehler, anhand derer Sie das Problem selbst beheben können. Die Protokolldateien sind unter verfügbar/var/log/amzn-guardduty-agent/.

    Tunsudo journalctl -u amazon-guardduty-agent.

Agent wurde nicht bereitgestellt

Instanzen mit Ausschluss-Tags sind von Runtime Monitoring ausgeschlossen.

GuardDuty empfängt keine Laufzeitereignisse von Amazon EC2-Instances, die mit dem Ausschluss-TagGuardDutyManaged: false gestartet werden.

Um Laufzeitereignisse von dieser Amazon EC2-Instance zu empfangen, entfernen Sie das Ausschluss-Tag.

Die Kernel-Version ist niedriger als die unterstützte Version.

Informationen zu den unterstützten Kernelversionen aller Betriebssystemverteilungen finden Sie unter Überprüfen Sie die architektonischen Anforderungen für Amazon EC2-Instances.

Die Kernel-Version ist höher als die unterstützte Version.

Informationen zu den unterstützten Kernelversionen aller Betriebssystemverteilungen finden Sie unter Überprüfen Sie die architektonischen Anforderungen für Amazon EC2-Instances.

Das Identitätsdokument für die Instanz konnte nicht abgerufen werden.

Dazu gehen Sie wie folgt vor:

  1. Vergewissern Sie sich, dass es sich bei Ihrer Ressource um eine Amazon EC2-Instance und nicht um eine Hybrid-Instance handelt, die nicht von EC2 stammt.

  2. Vergewissern Sie sich, dass der Instance Metadata Service (IMDS) aktiviert ist. Informationen dazu finden Sie im Amazon EC2-Benutzerhandbuch unter Konfigurieren der Optionen für den Instance Metadata Service.

  3. Stellen Sie sicher, dass das Instanz-Identitätsdokument existiert. Informationen dazu finden Sie im Amazon EC2-Benutzerhandbuch unter Abrufen des Instance-Identitätsdokuments.

  4. Wenn das Instanz-Identitätsdokument immer noch nicht existiert, starten Sie die Instance neu. Das Instance-Identitätsdokument wird generiert, wenn die Instance angehalten und gestartet, neu gestartet oder gelauncht wird.

Die Erstellung der SSM-Zuordnung ist fehlgeschlagen

GuardDuty Die SSM-Zuordnung ist bereits in Ihrem Konto vorhanden

  1. Löschen Sie die bestehende Verknüpfung manuell. Weitere Informationen finden Sie im AWS Systems Manager Benutzerhandbuch unter Löschen von Verknüpfungen.

  2. Nachdem Sie die Zuordnung gelöscht haben, deaktivieren Sie die GuardDuty automatische Agentenkonfiguration für Amazon EC2 und aktivieren Sie sie erneut.

Ihr Konto hat zu viele SSM-Verknüpfungen

Wählen Sie eine der folgenden beiden Optionen:

Die Aktualisierung der SSM-Zuordnung ist fehlgeschlagen

GuardDuty Die SSM-Zuordnung ist in Ihrem Konto nicht vorhanden

GuardDuty Die SSM-Zuordnung ist in Ihrem Konto nicht vorhanden. Deaktivieren Sie Runtime Monitoring und aktivieren Sie es erneut.

Das Löschen der SSM-Zuordnung ist fehlgeschlagen

GuardDuty Die SSM-Zuordnung ist in Ihrem Konto nicht vorhanden

Die SSM-Vereinigung ist in Ihrem Konto nicht vorhanden. Wenn die SSM-Zuordnung absichtlich gelöscht wurde, ist keine Aktion erforderlich.

Die Ausführung der SSM-Instanzzuordnung ist fehlgeschlagen

Die architektonischen Anforderungen oder andere Voraussetzungen sind nicht erfüllt.

Hinweise zu verifizierten Betriebssystemverteilungen finden Sie unterVoraussetzungen für die Unterstützung von Amazon EC2-Instances.

Wenn dieses Problem weiterhin auftritt, helfen Ihnen die folgenden Schritte dabei, das Problem zu identifizieren und möglicherweise zu lösen:

  1. Öffnen Sie die AWS Systems Manager Konsole unter https://console.aws.amazon.com/systems-manager/.

  2. Wählen Sie im Navigationsbereich unter Node Management die Option State Manager aus.

  3. Filtern Sie nach der Eigenschaft „Dokumentname“ und geben Sie Folgendes ein AmazonGuardDuty-ConfigureRuntimeMonitoringSsmPlugin.

  4. Wählen Sie die entsprechende Assoziations-ID aus und sehen Sie sich den Ausführungsverlauf an.

  5. Sehen Sie sich anhand des Ausführungsverlaufs die Fehler an, identifizieren Sie die mögliche Grundursache und versuchen Sie, sie zu beheben.

Die Erstellung des VPC-Endpoints ist fehlgeschlagen

Die Erstellung von VPC-Endpunkten wird für gemeinsam genutzte VPC nicht unterstützt vpcId

Runtime Monitoring unterstützt die Verwendung einer gemeinsam genutzten VPC innerhalb einer Organisation. Weitere Informationen finden Sie unter Verwenden von gemeinsam genutzter VPC mit Runtime Monitoring.

Nur bei Verwendung einer gemeinsam genutzten VPC mit automatisierter Agentenkonfiguration

Für die Inhaber-Konto-ID 111122223333 für eine gemeinsam genutzte VPC vpcId ist weder Runtime Monitoring noch automatische Agentenkonfiguration oder beides aktiviert

 Das gemeinsame VPC-Besitzerkonto muss Runtime Monitoring und automatische Agentenkonfiguration für mindestens einen Ressourcentyp (Amazon EKS oder Amazon ECS (AWS Fargate)) aktivieren. Weitere Informationen finden Sie unter Spezifische Voraussetzungen für Runtime Monitoring GuardDuty.

Für die Aktivierung von privatem DNS müssen beide enableDnsSupport enableDnsHostnames VPC-Attribute auf true for vpcId (Service: Ec2, Status Code:400, Request-ID:) gesetzt sein. a1b2c3d4-5678-90ab-cdef-EXAMPLE11111

Sie müssen jedoch sicherstellen, dass die folgenden VPC-Attribute auf true festgelegt sind: enableDnsSupport und enableDnsHostnames. Weitere Informationen finden Sie unter DNS-Attribute in Ihrer VPC.

Wenn Sie Amazon VPC Console unter verwenden, um die Amazon VPC https://console.aws.amazon.com/vpc/ zu erstellen, wählen Sie sowohl DNS-Hostnamen aktivieren als auch DNS-Auflösung aktivieren aus. Weitere Informationen finden Sie unter VPC-Konfigurationsoptionen.

Nach der Aktualisierung der VPC-Attribute müssen Sie die Erstellung des VPC-Endpoints beschleunigen, indem Sie eine der folgenden Änderungen vornehmen:

  • Sie können das GuardDutyManaged Tag für Ihre Amazon EC2-Instance hinzufügen oder ändern (empfohlen). Sie können beispielsweise hinzufügenGuardDutyManaged:, true um die Instance für Runtime Monitoring einzubeziehen.

  • Sie können den Status der Amazon EC2-Instance ändern (stoppen oder neu starten).

Das Löschen des gemeinsamen VPC-Endpoints ist fehlgeschlagen

Das Löschen eines gemeinsamen VPC-Endpunkts für Konto-ID111122223333, gemeinsame VPC vpcId und Besitzerkonto-ID ist nicht zulässig. 555555555555
Mögliche Schritte:

  • Die Deaktivierung des Runtime Monitoring-Status des gemeinsam genutzten VPC-Teilnehmerkontos hat keine Auswirkungen auf die gemeinsame VPC-Endpunktrichtlinie und die Sicherheitsgruppe, die im Besitzerkonto vorhanden ist.

    Um den gemeinsam genutzten VPC-Endpoint und die Sicherheitsgruppe zu löschen, müssen Sie Runtime Monitoring oder den automatisierten Agent-Konfigurationsstatus im gemeinsam genutzten VPC-Besitzerkonto deaktivieren.

  • Das gemeinsame VPC-Teilnehmerkonto kann den gemeinsam genutzten VPC-Endpunkt und die Sicherheitsgruppe, die im gemeinsamen VPC-Besitzerkonto gehostet werden, nicht löschen.

Der Agent meldet sich nicht

(Absichtlich leer)

Der Support für diesen Problemtyp ist abgelaufen. Wenn dieses Problem weiterhin auftritt und noch nicht geschehen ist, aktivieren Sie den GuardDuty automatisierten Agenten für Amazon EC2.

Wenn das Problem weiterhin besteht, sollten Sie in Erwägung ziehen, Runtime Monitoring für einige Minuten zu deaktivieren und dann erneut zu aktivieren.