Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Prasyarat untuk dukungan (khusus AWS Fargate Amazon ECS)

Bagian ini mencakup prasyarat untuk memantau perilaku runtime sumber daya Fargate-Amazon ECS Anda. Setelah prasyarat ini terpenuhi, lihat. Mengaktifkan GuardDuty Runtime Monitoring

Memvalidasi persyaratan arsitektur

Platform yang Anda gunakan dapat memengaruhi cara agen GuardDuty keamanan mendukung GuardDuty dalam menerima peristiwa runtime dari kluster Amazon ECS Anda. Anda harus memvalidasi bahwa Anda menggunakan salah satu platform terverifikasi.

Platform terverifikasi

Distribusi OS dan arsitektur CPU berdampak pada dukungan yang diberikan oleh agen GuardDuty keamanan. Tabel berikut menunjukkan konfigurasi terverifikasi untuk menerapkan agen GuardDuty keamanan dan mengonfigurasi Runtime Monitoring.

¹ Support untuk berbagai sistem operasi - GuardDuty telah memverifikasi dukungan Runtime Monitoring untuk distribusi operasi yang tercantum dalam tabel sebelumnya. Sementara agen GuardDuty keamanan dapat berjalan pada sistem operasi yang tidak tercantum dalam tabel sebelumnya, GuardDuty tim tidak dapat menjamin nilai keamanan yang diharapkan.

Prasyarat untuk akses gambar kontainer

Prasyarat berikut membantu Anda mengakses gambar GuardDuty kontainer sespan dari repositori Amazon ECR.

Persyaratan izin

Peran eksekusi tugas memerlukan izin Amazon Elastic Container Registry (Amazon ECR) tertentu untuk mengunduh GuardDuty gambar kontainer agen keamanan:

...
      "ecr:GetAuthorizationToken",
      "ecr:BatchCheckLayerAvailability",
      "ecr:GetDownloadUrlForLayer",
      "ecr:BatchGetImage",
...

Untuk lebih membatasi izin Amazon ECR, Anda dapat menambahkan URI repositori Amazon ECR yang menampung GuardDuty agen keamanan untuk ( AWS Fargate hanya Amazon ECS). Untuk informasi selengkapnya, lihat Agen hosting repositori Amazon ECR GuardDuty.

Anda dapat menggunakan kebijakan ECSTask ExecutionRolePolicy terkelola Amazon atau menambahkan izin di atas ke TaskExecutionRole kebijakan Anda.

Konfigurasi definisi tugas

Saat membuat atau memperbarui layanan Amazon ECS, Anda perlu memberikan informasi subnet dalam definisi tugas Anda:

Menjalankan CreateServicedan UpdateService APIs di Amazon Elastic Container Service API Reference mengharuskan Anda untuk meneruskan informasi subnet. Untuk informasi selengkapnya, lihat definisi tugas Amazon ECS di Panduan Pengembang Layanan Kontainer Elastis Amazon.

Persyaratan konektivitas jaringan

Anda harus memastikan konektivitas jaringan untuk mengunduh gambar GuardDuty kontainer dari Amazon ECR. Persyaratan ini khusus untuk GuardDuty karena menggunakan Amazon ECR untuk meng-host agen keamanannya. Bergantung pada konfigurasi jaringan Anda, Anda perlu menerapkan salah satu opsi berikut:

Untuk informasi tentang mengaktifkan Fargate mengunduh GuardDuty penampung, lihat Menggunakan gambar Amazon ECR dengan Amazon ECS di Panduan Pengguna Amazon Elastic Container Registry.

Konfigurasi grup keamanan

Gambar GuardDuty kontainer ada di Amazon ECR dan memerlukan akses Amazon S3. Persyaratan ini khusus untuk mengunduh gambar kontainer dari Amazon ECR. Untuk tugas dengan akses jaringan terbatas, Anda harus mengonfigurasi grup keamanan Anda untuk mengizinkan akses ke S3.

Tambahkan aturan keluar di grup keamanan Anda yang memungkinkan lalu lintas ke daftar awalan terkelola S3 (pl-xxxxxxxx) pada port 443. Untuk menambahkan aturan keluar, lihat Mengonfigurasi aturan grup keamanan di Panduan Pengguna Amazon VPC.

Untuk melihat daftar awalan AWS-managed di konsol atau mendeskripsikannya dengan menggunakan AWS Command Line Interface (AWS CLI), lihat daftar awalan AWS-managed di Panduan Pengguna Amazon VPC.

Memvalidasi kebijakan kontrol layanan organisasi Anda di lingkungan multi-akun

Bagian ini menjelaskan cara memvalidasi setelan kebijakan kontrol layanan (SCP) Anda untuk memastikan Runtime Monitoring berfungsi seperti yang diharapkan di seluruh organisasi Anda.

Jika Anda telah menyiapkan satu atau beberapa kebijakan kontrol layanan untuk mengelola izin di organisasi, Anda harus memvalidasi bahwa kebijakan tersebut tidak menolak tindakan tersebutguardduty:SendSecurityTelemetry. Untuk informasi tentang cara SCPs kerja, lihat evaluasi SCP di Panduan AWS Organizations Pengguna.

Jika Anda adalah akun anggota, sambungkan dengan administrator yang didelegasikan terkait. Untuk informasi tentang mengelola SCPs organisasi Anda, lihat Kebijakan kontrol layanan (SCPs) di Panduan AWS Organizations Pengguna.

Lakukan langkah-langkah berikut untuk semua SCPs yang telah Anda atur di lingkungan multi-akun Anda:

Memvalidasi izin peran dan batas izin kebijakan

Gunakan langkah-langkah berikut untuk memvalidasi bahwa batas izin yang terkait dengan peran dan kebijakannya tidak membatasi tindakan. guardduty:SendSecurityTelemetry

Batas CPU dan memori

Dalam definisi tugas Fargate, Anda harus menentukan CPU dan nilai memori di tingkat tugas. Tabel berikut menunjukkan kombinasi yang valid dari CPU tingkat tugas dan nilai memori, dan batas memori maksimum agen GuardDuty keamanan yang sesuai untuk wadah. GuardDuty

Setelah mengaktifkan Runtime Monitoring dan menilai bahwa status cakupan klaster Anda Sehat, Anda dapat menyiapkan dan melihat metrik wawasan Container. Untuk informasi selengkapnya, lihat Menyiapkan pemantauan di Amazon ECS cluster.

Langkah selanjutnya adalah mengkonfigurasi Runtime Monitoring dan juga mengkonfigurasi agen keamanan.