View a markdown version of this page

Comprensione CloudWatch dei log e dei motivi per cui si saltano le risorse durante la scansione di Malware Protection for EC2 - Amazon GuardDuty
Verifica dei CloudWatch log in Malware Protection for EC2 GuardDutyGuardDuty Protezione da malware per la conservazione dei log EC2Motivi per cui una risorsa viene ignorata

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Comprensione CloudWatch dei log e dei motivi per cui si saltano le risorse durante la scansione di Malware Protection for EC2

GuardDuty Malware Protection for EC2 pubblica gli eventi nel tuo gruppo di log di Amazon//malware-scan-events. CloudWatch aws/guardduty Puoi monitorare lo stato e il risultato della scansione delle risorse interessate per ciascuno degli eventi relativi alla scansione malware. Alcune risorse Amazon EC2 e volumi Amazon EBS potrebbero essere stati ignorati durante la scansione Malware Protection for EC2.

Verifica dei CloudWatch log in Malware Protection for EC2 GuardDuty

Esistono tre tipi di eventi di scansione supportati nel gruppo di log/aws/guardduty CloudWatch /malware-scan-events.

Nome dell'evento di scansione di Malware Protection for EC2 Spiegazione

EC2_SCAN_STARTED

Creato quando GuardDuty Malware Protection for EC2 avvia il processo di scansione del malware, ad esempio preparandosi a scattare un'istantanea di un volume EBS.

EC2_SCAN_COMPLETED

Creato quando GuardDuty Malware Protection for EC2 esegue la scansione di almeno uno dei volumi EBS della risorsa interessata. Questo evento include anche lo snapshotId appartenente al volume EBS scansionato. Al termine della scansione, il risultato sarà CLEAN, THREATS_FOUND o NOT_SCANNED.

EC2_SCAN_SKIPPED

Creato quando la scansione di GuardDuty Malware Protection for EC2 salta tutti i volumi EBS della risorsa interessata. Per identificare il motivo per cui vengono ignorati, seleziona l'evento corrispondente e visualizza i dettagli. Per ulteriori informazioni sui motivi per cui le risorse vengono ignorate, consulta Motivi per cui una risorsa viene ignorata durante la scansione malware di seguito.

Nota

Se si utilizza un AWS Organizations, gli eventi di CloudWatch registro degli account dei membri nelle organizzazioni vengono pubblicati sia nell'account amministratore che nel gruppo di registro dell'account membro.

Scegli il tuo metodo di accesso preferito per visualizzare e interrogare CloudWatch gli eventi.

Console

  1. Accedi a Console di gestione AWS e apri la CloudWatch console all'indirizzo https://console.aws.amazon.com/cloudwatch/.

  2. Nel riquadro di navigazione, in Log, scegli Gruppi di log. Scegli il gruppo di log/aws/guardduty/malware-scan-events per visualizzare gli eventi di scansione per Malware Protection for EC2. GuardDuty

    Per eseguire una query, scegli Log Insights.

    Per informazioni sull'esecuzione di una query, consulta Analyzing log data with CloudWatch Logs Insights nella Amazon User Guide. CloudWatch

  3. Scegli ID scansione per monitorare i dettagli della risorsa interessata e gli esiti relativi al malware. Ad esempio, puoi eseguire la seguente query per filtrare gli eventi di CloudWatch log utilizzandoscanId. Assicurati di utilizzare il tuo validoscan-id.

    fields @timestamp, @message, scanRequestDetails.scanId as scanId
| filter scanId like "77a6f6115da4bd95f4e4ca398492bcc0"
| sort @timestamp asc
API/CLI

  • Per lavorare con i gruppi di log, consulta Cerca le voci dei log utilizzando la AWS CLI Amazon CloudWatch User Guide.

    Scegli il gruppo di log/aws/guardduty/malware-scan-events per visualizzare gli eventi di scansione per Malware Protection for EC2. GuardDuty

  • Per visualizzare e filtrare gli eventi di log, consulta GetLogEvents e, rispettivamente FilterLogEvents, in Amazon API Reference. CloudWatch

GuardDuty Protezione da malware per la conservazione dei log EC2

Il periodo di conservazione dei log predefinito per il gruppo di log/aws/guardduty/malware-scan-events è di 90 giorni, dopodiché gli eventi di registro vengono eliminati automaticamente. Per modificare la politica di conservazione dei log per il tuo gruppo di CloudWatch log, consulta Modificare la conservazione dei dati di log in CloudWatch Logs nella Amazon CloudWatch User Guide o PutRetentionPolicy nell'Amazon API Reference. CloudWatch

Motivi per cui una risorsa viene ignorata durante la scansione malware

Negli eventi relativi alla scansione malware, alcune risorse EC2 e alcuni volumi EBS potrebbero essere stati ignorati durante il processo di scansione. La tabella seguente elenca i motivi per cui GuardDuty Malware Protection for EC2 potrebbe non eseguire la scansione delle risorse. Se applicabile, utilizza i passaggi proposti per risolvere questi problemi ed esegui la scansione di queste risorse la prossima volta che GuardDuty Malware Protection for EC2 avvia una scansione antimalware. Gli altri problemi vengono utilizzati per informarti sul corso degli eventi e non possono essere risolti.

Motivi per cui una risorsa potrebbe essere ignorata Spiegazione Fasi proposte

RESOURCE_NOT_FOUND

La resourceArn risposta fornita per avviare la scansione antimalware su richiesta non è stata trovata nel tuo AWS ambiente.

Convalida il resourceArn dell'istanza Amazon EC2 o del carico di lavoro di un container e riprova.

ACCOUNT_INELIGIBLE

L'ID AWS dell'account dal quale hai provato ad avviare una scansione On-demand antimalware non è abilitato. GuardDuty

Verifica che GuardDuty sia abilitato per questo AWS account.

Quando ne GuardDuty abiliti uno nuovo Regione AWS , la sincronizzazione può richiedere fino a 20 minuti.

UNSUPPORTED_KEY_ENCRYPTION

GuardDuty Malware Protection for EC2 supporta volumi non crittografati e crittografati con chiave gestita dal cliente. Non supporta la scansione di volumi EBS crittografati utilizzando la Crittografia di Amazon EBS.

Attualmente, esiste una differenza regionale in cui questo motivo di ignoramento non è applicabile. Per ulteriori informazioni su questi Regioni AWS, vedere. Region-specific disponibilità delle funzionalità

Sostituisci la chiave di crittografia con una chiave gestita dal cliente. Per ulteriori informazioni sui tipi di crittografia GuardDuty supportati, vedereVolumi Amazon EBS supportati per la scansione del malware.

EXCLUDED_BY_SCAN_SETTINGS

L'istanza EC2 o il volume EBS sono stati esclusi durante la scansione malware. Esistono due motivazioni possibili: il tag è stato aggiunto all'elenco di inclusione, ma la risorsa non è associata a questo tag, il tag è stato aggiunto all'elenco di esclusione e la risorsa è associata a questo tag oppure il tag GuardDutyExcluded è impostato su true per questa risorsa.

Aggiorna le opzioni di scansione o i tag associati alla tua risorsa Amazon EC2. Per ulteriori informazioni, consulta Opzioni di scansione con tag definiti dall'utente.

UNSUPPORTED_VOLUME_SIZE

Il volume è superiore a 2048 GB.

Non utilizzabile.

NO_VOLUMES_ATTACHED

GuardDuty Malware Protection for EC2 ha trovato l'istanza nel tuo account, ma a questa istanza non è stato collegato alcun volume EBS per procedere con la scansione.

Non utilizzabile.

UNABLE_TO_SCAN

Si tratta di un errore interno del servizio.

Non utilizzabile.

SNAPSHOT_NOT_FOUND

Le istantanee create dai volumi EBS e condivise con l'account del servizio non sono state trovate e GuardDuty Malware Protection for EC2 non ha potuto procedere con la scansione.

Verifica che CloudTrail le istantanee non siano state rimosse intenzionalmente.

SNAPSHOT_QUOTA_REACHED

Hai raggiunto il volume massimo consentito per gli snapshot per ogni regione. Per questo motivo non è possibile né conservare né creare nuovi snapshot.

Puoi rimuovere gli snapshot meno recenti o richiedere un aumento della quota. Puoi visualizzare il limite predefinito per gli snapshot per ogni regione e scoprire come richiedere l'aumento della quota in Service Quotas nella Guida di riferimento generale di AWS .

MAX_NUMBER_OF_ATTACHED_VOLUMES_REACHED

Più di 11 volumi EBS sono stati collegati a un'istanza EC2. GuardDuty Malware Protection for EC2 ha analizzato i primi 11 volumi EBS, ottenuti ordinandoli alfabeticamente. deviceName

Non utilizzabile.

UNSUPPORTED_PRODUCT_CODE_TYPE

GuardDuty può scansionare la maggior parte delle istanze con as. productCode marketplace Alcune istanze del marketplace potrebbero non essere idonee per la scansione. GuardDuty ignorerà tali istanze e registrerà il motivo come. UNSUPPORTED_PRODUCT_CODE_TYPE Questo supporto varia in base alle regioni AWS GovCloud (US) della Cina. Per ulteriori informazioni, consulta Region-specific disponibilità delle funzionalità.

Per ulteriori informazioni, consulta le AMI a pagamento nella Guida per l'utente di Amazon EC2. Per informazioni su productCode, consulta ProductCode, nella Documentazione di riferimento delle API di Amazon EC2.

Non utilizzabile.