Meninjau statistik cakupan Perubahan status cakupan dengan EventBridge notifikasi Memecahkan masalah cakupan ECS-Fargate runtime Amazon

Cakupan runtime dan pemecahan masalah untuk cluster Amazon ECS

Cakupan runtime untuk cluster Amazon ECS mencakup tugas yang berjalan di AWS Fargate dan instans kontainer Amazon ECS. ¹

Untuk cluster Amazon ECS yang berjalan di Fargate, cakupan runtime dinilai pada tingkat tugas. Cakupan runtime cluster ECS mencakup tugas-tugas Fargate yang telah mulai berjalan setelah Anda mengaktifkan Pemantauan Runtime dan konfigurasi agen otomatis untuk Fargate (hanya ECS). Secara default, tugas Fargate tidak dapat diubah. GuardDuty tidak akan dapat menginstal agen keamanan untuk memantau wadah pada tugas yang sudah berjalan. Untuk memasukkan tugas Fargate seperti itu, Anda harus berhenti dan memulai tugas lagi. Pastikan untuk memeriksa apakah layanan terkait didukung.

Untuk informasi tentang wadah Amazon ECS, lihat Pembuatan https://docs.aws.amazon.com/AmazonECS/latest/developerguide/create-capacity.html kapasitas.

Daftar Isi

Meninjau statistik cakupan
Perubahan status cakupan dengan EventBridge notifikasi
Memecahkan masalah cakupan ECS-Fargate runtime Amazon

Meninjau statistik cakupan

Statistik cakupan untuk sumber daya Amazon ECS yang terkait dengan akun Anda sendiri atau akun anggota Anda adalah persentase cluster Amazon ECS yang sehat di semua cluster Amazon ECS di yang dipilih. Wilayah AWS Ini termasuk cakupan untuk cluster Amazon ECS yang terkait dengan instans Fargate dan Amazon EC2. Persamaan berikut mewakili ini sebagai:

(Clu clusters/All ster sehat) * 100

Pertimbangan-pertimbangan

Statistik cakupan untuk cluster ECS mencakup status cakupan tugas Fargate atau instance kontainer ECS yang terkait dengan cluster ECS tersebut. Status cakupan tugas Fargate mencakup tugas yang sedang berjalan atau baru saja selesai berjalan.
Di tab cakupan runtime cluster ECS, bidang yang dic akup instans kontainer menunjukkan status cakupan instans kontainer Amazon EC2 yang terkait dengan cluster Amazon ECS Anda.

Jika cluster Amazon ECS Anda hanya menjalankan jenis peluncuran Fargate, bidang ini menampilkan tanda hubung (-) untuk menunjukkan bahwa hitungan tidak berlaku. Fargate-only Cluster tidak memiliki instans kontainer Amazon EC2 untuk ditutupi.
Jika cluster Amazon ECS Anda dikaitkan dengan instans Amazon EC2 yang tidak memiliki agen keamanan, cluster Amazon ECS juga akan memiliki status cakupan tidak sehat.

Untuk mengidentifikasi dan memecahkan masalah cakupan untuk instans Amazon EC2 terkait, lihat Memecahkan masalah cakupan runtime Amazon EC2 untuk instans Amazon EC2.

Pilih salah satu metode akses untuk meninjau statistik cakupan akun Anda.

Console

Masuk ke Konsol Manajemen AWS dan buka GuardDuty konsol di https://console.aws.amazon.com/guardduty/.
Di panel navigasi, pilih Pemantauan Runtime.
Pilih tab C akupan Runtime.
Di bawah tab cakupan runtime cluster ECS, Anda dapat melihat statistik cakupan yang dikumpulkan berdasarkan status cakupan setiap cluster Amazon ECS yang tersedia di tabel daftar Cluster.
- Anda dapat memfilter tabel daftar Cluster dengan kolom berikut:
  - ID Akun
  - Nama Cluster
  - Jenis manajemen agen
  - Status cakupan
Jika salah satu cluster Amazon ECS Anda memiliki status Cak upan sebagai Tidak Sehat, kolom Masalah menyertakan informasi tambahan tentang alasan status Tidak sehat.

Jika cluster Amazon ECS Anda dikaitkan dengan instans Amazon EC2, navigasikan ke tab cakupan runtime instance EC2 dan filter berdasarkan bidang Nama Cluster untuk melihat Masalah terkait.

API/CLI

Jalankan ListCoverage API dengan ID detektor Anda sendiri yang valid, Wilayah saat ini, dan titik akhir layanan. Anda dapat memfilter dan mengurutkan daftar instance menggunakan API ini.
- Anda dapat mengubah contoh filter-criteria dengan salah satu opsi berikut untukCriterionKey:
  - ACCOUNT_ID
  - ECS_CLUSTER_NAME
  - COVERAGE_STATUS
  - MANAGEMENT_TYPE
- Anda dapat mengubah contoh AttributeName sort-criteria dengan opsi berikut:
  - ACCOUNT_ID
  - COVERAGE_STATUS
  - ISSUE
  - ECS_CLUSTER_NAME
  - UPDATED_AT
    
    Bidang akan diperbarui hanya ketika tugas baru dibuat di cluster Amazon ECS terkait atau ada perubahan dalam status cakupan yang sesuai.
- Anda dapat mengubah max-results (hingga 50).
- Untuk menemukan akun Anda dan Wilayah saat ini, lihat halaman Peng aturan di https://console.aws.amazon.com/guardduty/ konsol, atau jalankan ListDetectors API. detectorId
```
aws guardduty --region us-east-1 list-coverage --detector-id 12abc34d567e8fa901bc2d34e56789f0 --sort-criteria '{"AttributeName": "ECS_CLUSTER_NAME", "OrderBy": "DESC"}' --filter-criteria '{"FilterCriterion":[{"CriterionKey":"ACCOUNT_ID", "FilterCondition":{"EqualsValue":"111122223333"}}] }'  --max-results 5
```
Jalan GetCoverageStatistics kan API untuk mengambil statistik gabungan cakupan berdasarkanstatisticsType.
- Anda dapat mengubah contoh statisticsType ke salah satu opsi berikut:
  - COUNT_BY_COVERAGE_STATUS— Merupakan statistik cakupan untuk cluster ECS yang digabungkan berdasarkan status cakupan.
  - COUNT_BY_RESOURCE_TYPE— Statistik cakupan dikumpulkan berdasarkan jenis AWS sumber daya dalam daftar.
  - Anda dapat mengubah contoh filter-criteria dalam perintah. Anda dapat menggunakan opsi berikut untukCriterionKey:
    
    ACCOUNT_ID
    
    ECS_CLUSTER_NAME
    
    COVERAGE_STATUS
    
    MANAGEMENT_TYPE
    
    INSTANCE_ID
- Untuk menemukan akun Anda dan Wilayah saat ini, lihat halaman Peng aturan di https://console.aws.amazon.com/guardduty/ konsol, atau jalankan ListDetectors API. detectorId
```
aws guardduty --region us-east-1 get-coverage-statistics --detector-id 12abc34d567e8fa901bc2d34e56789f0 --statistics-type COUNT_BY_COVERAGE_STATUS --filter-criteria '{"FilterCriterion":[{"CriterionKey":"ACCOUNT_ID", "FilterCondition":{"EqualsValue":"123456789012"}}] }'
```

Untuk informasi selengkapnya tentang masalah cakupan, lihatMemecahkan masalah cakupan ECS-Fargate runtime Amazon.

Perubahan status cakupan dengan EventBridge notifikasi

Status cakupan cluster Amazon ECS Anda mungkin tampak sebagai Tidak sehat. Untuk mengetahui kapan status cakupan berubah, kami sarankan Anda memantau status cakupan secara berkala, dan memecahkan masalah jika status menjadi Tidak sehat. Atau, Anda dapat membuat EventBridge aturan Amazon untuk menerima pemberitahuan ketika status cakupan berubah dari Tidak Seh at menjadi Sehat atau sebaliknya. Secara default, GuardDuty menerbitkan ini di EventBridge bus untuk akun Anda.

Skema pemberitahuan sampel

Dalam EventBridge aturan, Anda dapat menggunakan contoh peristiwa dan pola peristiwa yang telah ditentukan sebelumnya untuk menerima pemberitahuan status cakupan. Untuk informasi selengkapnya tentang membuat EventBridge aturan, lihat Membuat aturan di Panduan EventBridge Pengguna Amazon.

Selain itu, Anda dapat membuat pola peristiwa khusus dengan menggunakan skema notifikasi contoh berikut. Pastikan untuk mengganti nilai untuk akun Anda. Untuk mendapatkan pemberitahuan ketika status cakupan cluster Amazon ECS Anda berubah dari Healthy keUnhealthy, detail-type seharusnya GuardDuty Runtime Protection Unhealthy demikian. Untuk mendapatkan pemberitahuan ketika status cakupan berubah dari Unhealthy menjadiHealthy, ganti nilai detail-type denganGuardDuty Runtime Protection Healthy.


{
  "version": "0",
  "id": "event ID",
  "detail-type": "GuardDuty Runtime Protection Unhealthy",
  "source": "aws.guardduty",
  "account": "Akun AWS ID",
  "time": "event timestamp (string)",
  "region": "Wilayah AWS",
  "resources": [
       ],
  "detail": {
    "schemaVersion": "1.0",
    "resourceAccountId": "string",
    "currentStatus": "string",
    "previousStatus": "string",
    "resourceDetails": {
        "resourceType": "ECS",
        "ecsClusterDetails": {
          "clusterName":"",
          "fargateDetails":{
            "issues":[],
            "managementType":""
          },
          "containerInstanceDetails":{
            "coveredContainerInstances":int,
            "compatibleContainerInstances":int
          }
        }
    },
    "issue": "string",
    "lastUpdatedAt": "timestamp"
  }
}

Memecahkan masalah cakupan ECS-Fargate runtime Amazon

Jika status cakupan cluster Amazon ECS Anda tidak sehat, Anda dapat melihat alasannya di bawah kolom Masalah.

Tabel berikut menyediakan langkah-langkah pemecahan masalah yang disarankan untuk masalah Fargate (hanya Amazon ECS). Untuk informasi tentang masalah cakupan instans Amazon EC2, lihat Memecahkan masalah cakupan runtime Amazon EC2 untuk instans Amazon EC2.

Jenis masalah	Informasi tambahan	Langkah-langkah pemecahan masalah yang disarankan
Agen tidak melaporkan	Agen tidak melaporkan tugas di `TaskDefinition - 'TASK_DEFINITION'`	Memvalidasi bahwa titik akhir VPC untuk tugas cluster Amazon ECS Anda telah dikonfigurasi dengan benar. Untuk informasi selengkapnya, lihat Memvalidasi konfigurasi titik akhir VPC. Jika organisasi Anda memiliki kebijakan kontrol layanan (SCP), validasi bahwa batas izin tidak membatasi `guardduty:SendSecurityTelemetry` izin. Untuk informasi selengkapnya, lihat Memvalidasi kebijakan kontrol layanan organisasi Anda di lingkungan multi-akun.
Agen tidak melaporkan	`VPC_ISSUE; for task in TaskDefinition - 'TASK_DEFINITION'`	Lihat detail masalah VPC di informasi tambahan.
Agen keluar	ExitCode: `EXIT_CODE` untuk tugas di `TaskDefinition - 'TASK_DEFINITION'`	Lihat detail masalah di informasi tambahan.
	Alasan: `REASON` untuk tugas di `TaskDefinition - 'TASK_DEFINITION'`
	ExitCode: `EXIT_CODE` dengan alasan: '`EXIT_CODE`' untuk tugas di `TaskDefinition - 'TASK_DEFINITION'`
	Agen keluar: Alasan:`CannotPullContainerError`: pull image manifes telah dicoba lagi...	Dalam skenario ini, GuardDuty berpotensi tidak dapat menarik gambar wadah sidecar. Tugas Anda akan terus berjalan tetapi tidak GuardDuty dapat mendeteksi potensi ancaman. Lakukan langkah-langkah pemecahan masalah berikut satu per satu untuk memeriksa apakah ini membantu menyelesaikan masalah cakupan: Izin: Pastikan peran eksekusi tugas Anda memiliki izin ECR yang diperlukan yang tercantum diPersyaratan izin. Konektivitas jaringan: Verifikasi bahwa tugas Fargate Anda dapat mencapai ECR baik melalui akses internet publik atau titik akhir VPC yang dikonfigurasi dengan benar seperti yang dijelaskan dalam. Persyaratan konektivitas jaringan Konfigurasi grup keamanan: Periksa apakah grup keamanan Anda mengizinkan akses keluar ke daftar awalan terkelola S3 pada port 443 seperti yang dijelaskan dalamKonfigurasi grup keamanan. Jalan AWSSupport-TroubleshootECSTaskFailedToStart kan runbook di Wilayah cluster Anda untuk mengidentifikasi masalah tertentu. Lihat log tugas untuk pesan kesalahan. Untuk informasi tentang cara melakukannya, lihat Melihat log agen kontainer Amazon ECS di Panduan Pengembang Layanan Kontainer Amazon Elastic. Untuk kesalahan umum dan pemecahan masalah, lihat pemecahan masalah Amazon ECS di Panduan Pengembang Layanan Kontainer Amazon Elastic. Ketiga komponen ini (izin, konektivitas jaringan, dan konfigurasi grup keamanan) independen tetapi semuanya diperlukan untuk berhasil mengunduh gambar kon GuardDuty tainer dari Amazon ECR. Jika masalah berlanjut, lihatAWS Step Functions Alur kerja saya gagal secara tak terduga.
Pembuatan Titik Akhir VPC Gagal	Mengaktifkan DNS pribadi memerlukan keduanya `enableDnsSupport` dan atribut `enableDnsHostnames` VPC disetel ke `true` untuk `vpcId` (Layanan: EC2, Status Code:400, ID Permintaan:`a1b2c3d4-5678-90ab-cdef-EXAMPLE11111`).	Pastikan atribut VPC berikut disetel ke `true` — `enableDnsSupport` dan`enableDnsHostnames`. Untuk informasi selengkapnya, lihat atribut DNS di VPC Anda. Jika Anda menggunakan Amazon VPC Console di https://console.aws.amazon.com/vpc/ untuk membuat Amazon VPC, pastikan untuk memilih Aktifkan nama host DNS dan Aktifkan resolusi DNS. Untuk informasi selengkapnya, lihat opsi konfigurasi VPC.
Agen tidak disediakan	Pemanggilan tidak didukung oleh `SERVICE` untuk tugas di `TaskDefinition - 'TASK_DEFINITION'`	Tugas ini dipanggil oleh `SERVICE` yang tidak didukung.
	Arsitektur CPU tidak didukung `TYPE` '' untuk tugas di `TaskDefinition - 'TASK_DEFINITION'`	Tugas ini berjalan pada arsitektur CPU yang tidak didukung. Untuk informasi tentang arsitektur CPU yang didukung, lihatMemvalidasi persyaratan arsitektur.
	`TaskExecutionRole`hilang dari `TaskDefinition - 'TASK_DEFINITION'`	Peran eksekusi tugas ECS tidak ada. Untuk informasi tentang memberikan peran eksekusi tugas dan izin yang diperlukan, lihatPrasyarat untuk akses gambar kontainer.
	Konfigurasi jaringan tidak ada `CONFIGURATION_DETAILS` '' untuk tugas di `TaskDefinition - 'TASK_DEFINITION'`	Masalah konfigurasi jaringan mungkin muncul karena konfigurasi VPC yang hilang, atau subnet hilang atau kosong. Memvalidasi bahwa konfigurasi jaringan Anda benar. Untuk informasi selengkapnya, lihat Prasyarat untuk akses gambar kontainer. Untuk informasi selengkapnya, lihat parameter definisi tugas Amazon ECS di Panduan Pengembang Layanan Kontainer Amazon Elastic.
	Tugas yang dimulai ketika cluster memiliki tag pengecualian dikecualikan dari Runtime Monitoring. ID tugas yang terkena dampak: '`TASK_ID`	Saat Anda mengubah GuardDuty tag yang telah ditentukan dari `GuardDutyManaged` - `true` ke `GuardDutyManaged` -`false`, tidak GuardDuty akan menerima peristiwa runtime untuk cluster Amazon ECS ini. Perbarui tag ke `GuardDutyManaged` - `true` dan kemudian luncurkan kembali tugas.
	Layanan yang digunakan saat cluster memiliki tag pengecualian dikecualikan dari Runtime Monitoring. Nama layanan yang terkena dampak: '`SERVICE_NAME`'	Ketika layanan diterapkan dengan tag pengecualian `GuardDutyManaged` -`false`, tidak GuardDuty akan menerima peristiwa runtime untuk cluster Amazon ECS ini. Perbarui tag ke `GuardDutyManaged` - `true` dan kemudian gunakan kembali layanan.
	Tugas yang dimulai sebelum mengaktifkan Konfigurasi Agen Otomatis tidak tercakup. ID tugas yang terkena dampak: '`TASK_ID`'	Ketika cluster berisi tugas yang diluncurkan sebelum mengaktifkan konfigurasi agen otomatis untuk Amazon ECS, maka tidak GuardDuty akan dapat melindungi ini. Luncurkan kembali tugas untuk dipantau oleh. GuardDuty
	Layanan yang digunakan sebelum mengaktifkan Konfigurasi Agen Otomatis tidak tercakup. Nama layanan yang terkena dampak: '`SERVICE_NAME`'	Ketika layanan diterapkan sebelum mengaktifkan Konfigurasi agen otomatis untuk Amazon ECS, tidak GuardDuty akan menerima peristiwa runtime untuk cluster ECS.
	Layanan '`SERVICE_NAME`' membutuhkan penerapan baru ke fix/troubleshoot. Lihat dokumentasi, Nama layanan yang terkena dampak: '`SERVICE_NAME`'	Layanan yang dimulai sebelum mengaktifkan Runtime Monitoring tidak didukung. Anda dapat memulai ulang layanan atau memperbarui layanan dengan `forceNewDeployment` opsi dengan mengikuti langkah-langkah di bawah Memper barui layanan Amazon ECS menggunakan konsol di Panduan Pengembang Layanan Kontainer Amazon Elastic. Atau, Anda juga dapat menggunakan langkah-langkah di bawah UpdateService di Referensi API Layanan Kontainer Amazon Elastic.
	Tugas yang dimulai sebelum mengaktifkan Runtime Monitoring memerlukan peluncuran ulang. ID tugas yang terkena dampak: '`TASK_ID_1`'	Di Amazon ECS, tugasnya tidak dapat diubah. Untuk menilai perilaku runtime atau AWS Fargate tugas yang sedang berjalan, pastikan Runtime Monitoring sudah diaktifkan, lalu mulai ulang tugas GuardDuty untuk menambahkan sidecar penampung.
Lainnya	Masalah tidak teridentifikasi, untuk tugas di `TaskDefinition - 'TASK_DEFINITION'`	Gunakan pertanyaan berikut untuk mengidentifikasi akar penyebab masalah: Apakah tugas dimulai sebelum Anda mengaktifkan Pemantauan Runtime? Di Amazon ECS, tugasnya tidak dapat diubah. Untuk menilai perilaku runtime dari tugas Fargate yang sedang berjalan, pastikan Runtime Monitoring sudah diaktifkan, lalu mulai ulang tugas GuardDuty untuk menambahkan sidecar kontainer. Apakah tugas ini bagian dari penyebaran layanan yang dimulai sebelum Anda mengaktifkan Pemantauan Runtime? Jika ya, Anda dapat memulai ulang layanan atau memperbarui layanan `forceNewDeployment` dengan menggunakan langkah-langkah dalam Memperbarui layanan. Anda juga dapat menggunakan UpdateService atau AWS CLI. Apakah tugas diluncurkan setelah mengecualikan cluster ECS dari Runtime Monitoring? Ketika Anda mengubah GuardDuty tag yang telah ditentukan sebelumnya dari `GuardDutyManaged` - `true` ke `GuardDutyManaged` -`false`, tidak GuardDuty akan menerima peristiwa runtime untuk cluster ECS. Apakah layanan Anda berisi tugas yang memiliki format lama`taskArn`? GuardDuty Runtime Monitoring tidak mendukung cakupan untuk tugas yang memiliki format lama`taskArn`. Untuk informasi tentang Nama Sumber Daya Amazon (ARN) untuk sumber daya Amazon ECS, lihat Nama Sumber Daya Amazon (ARN) dan ID.

Awas Javascript dinonaktifkan atau tidak tersedia di browser Anda.

Untuk menggunakan Dokumentasi AWS, Javascript harus diaktifkan. Lihat halaman Bantuan browser Anda untuk petunjuk.

Konvensi Dokumen

Cakupan dan pemecahan masalah untuk ECS-EC2 Bottlerocket

Cakupan dan pemecahan masalah untuk cluster Amazon EKS