Riparazione di un punto di ripristino potenzialmente compromesso EC2 - Amazon GuardDuty

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Riparazione di un punto di ripristino potenzialmente compromesso EC2

Quando GuardDuty genera un'esecuzione:/! EC2 MaliciousFile RecoveryPoint individuando il tipo, indica che è stato rilevato del malware in una risorsa di EC2 Recovery Point Backup. Esegui le seguenti operazioni per correggere il punto di ripristino potenzialmente compromesso:

  1. Identifica il punto di ripristino potenzialmente compromesso EC2

    1. Un GuardDuty risultato per EC2 Recovery Point elencherà il suo Amazon Resource Name (ARN) e i dettagli della scansione del malware associata nei dettagli del risultato:

      aws backup describe-recovery-point --backup-vault-name 021345abcdef6789 --recovery-point-arn "arn:aws:backup:us-east-1:111122223333:recovery-point:a1b2c3d4-5678-90ab-cdef-EXAMPLE11111"
    2. Review recovery details to look for source image: 
      aws backup get-recovery-point-restore-metadata --backup-vault-name 021345abcdef6789 --recovery-point-arn "arn:aws:backup:us-east-1:111122223333:recovery-point:a1b2c3d4-5678-90ab-cdef-EXAMPLE11111"

  2. Limita l'accesso alle risorse compromesse

    • Rivedi e modifica le politiche di accesso al backup vault per limitare l'accesso ai punti di ripristino e sospendere qualsiasi processo di ripristino automatico che potrebbe utilizzare questo punto di ripristino. Se il tuo ambiente utilizza l'etichettatura delle risorse, contrassegna il punto di ripristino in modo appropriato per indicare che è oggetto di indagine e valuta la possibilità di sospendere i backup pianificati, se necessario.

      Esempio:

      aws backup tag-resource -—resource-arn arn:aws:backup:us-east-1:111122223333:recovery-point:a1b2c3d4-5678-90ab-cdef-EXAMPLE11111 -—tags Investigation=Malware,DoNotDelete=True

  3. Intraprendi azioni correttive

    • Prima di procedere con l'eliminazione, assicurati di aver identificato tutte le dipendenze e di disporre di backup adeguati, se necessario.