Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
# Come funziona Malware Protection for Backup?
Questa sezione descrive i componenti di Malware Protection for Backup, come funziona e come è possibile esaminare lo stato e il risultato della scansione del malware.
## Panoramica di
Malware Protection for Backup è una funzionalità che consente di rilevare la presenza di malware sulle istantanee EBS, sulle immagini EC2 (AMI) e sui punti di ripristino appartenenti ai tipi di risorse EBS, EC2 e S3. Puoi avviare una scansione antimalware su richiesta tramite la GuardDuty console o l'API passando un ruolo IAM che fornisce le autorizzazioni necessarie per la scansione, insieme a uno o due ARN di risorse a seconda della categoria di scansione. Sono possibili due categorie di scansione: scansioni complete e scansioni incrementali.
### Scansione completa e scansione incrementale
Una scansione completa è quella in cui l'API accetterà un ARN della risorsa e scansionerà tutti i file all'interno di quella risorsa. Una scansione incrementale, invece, utilizza due ARN di risorse, entrambi appartenenti alla stessa risorsa, e analizza i file modificati tra di loro. Ad esempio, supponiamo di scattare un'istantanea di un volume EBS. Chiamiamola snapshot-1. * * Se viene eseguita una scansione completa su questa istantanea, esegue la GuardDuty scansione di tutti i file contenuti in questa istantanea. Supponiamo ora che alcuni file siano stati aggiunti allo stesso volume e che venga scattata una nuova istantanea. Chiamiamola * * snapshot-2. Poiché solo pochi file sono cambiati tra * snapshot-1 * e * snapshot-2*, è possibile attivare una scansione incrementale con le risorse ARN di queste due istantanee. In questo caso * snapshot-2 * viene definito risorsa e snapshot-1 viene definito risorsa. `target` * * `base` Vedrai questa terminologia utilizzata nel resto del documento. Questa scansione incrementale analizzerà i file modificati tra * snapshot-1 e snapshot-2*. * *
### Scansione Point-in-Time-Recovery del malware per (PITR)
Se abilitata da AWS Backup, la scansione del malware per i backup continui (PITR) viene eseguita in base alla frequenza configurata nel piano di backup. Questa operazione è orchestrata dal servizio Backup. AWS Ad esempio, GuardDuty eseguirà la prima scansione da t0 a t2, la scansione successiva da t2 a t4, la scansione successiva da t4 a t6 e così via. Ognuna di queste scansioni genera un ID di scansione che può essere interrogato utilizzando l'`GetMalwareScan`API per ottenere lo stato e il risultato della scansione per quel periodo di tempo.
In alternativa, puoi anche scansionare l'intera risorsa PITR dalla GuardDuty console o utilizzando l' GuardDuty `StartMalwareScan`API su richiesta inserendo un timestamp di fine. Ciò garantirà la GuardDuty scansione dell'intera risorsa dall'inizio fino al timestamp di fine.
**Nota**
Non è possibile attivare scansioni parziali o incrementali sul PITR da. GuardDuty
Il timestamp di fine passato per una scansione su richiesta non può essere precedente a (*ora attuale: 15 minuti). *
### Nuova scansione dei file precedentemente infetti con una scansione incrementale
Come parte di una scansione incrementale, GuardDuty eseguirà anche una nuova scansione dei file precedentemente infetti dalla scansione di base per un massimo di 365 giorni.
### Requisiti per una scansione incrementale
I seguenti requisiti devono essere soddisfatti per GuardDuty eseguire una scansione incrementale. Se uno di questi requisiti non viene soddisfatto, GuardDuty salterà la scansione.
+ La risorsa di base deve essere scansionata negli ultimi 365 giorni e il risultato della scansione deve essere compreso tra `COMPLETED` o. `COMPLETED_WITH_ISSUES`
+ La risorsa di base deve avere una data di creazione precedente a quella della risorsa di destinazione.
+ Le risorse di base e di destinazione devono avere lo stesso tipo di crittografia in caso di istantanee.
+ Le risorse di base e di destinazione devono appartenere alla stessa stirpe.
+ Per un'istantanea EBS e un punto di ripristino EBS, ciò significa che provengono dallo stesso volume o da copie dello stesso volume, senza alcuna modifica del tipo di crittografia.
+ Per un punto di ripristino S3, gli ARN della risorsa di base e di destinazione devono essere creati dallo stesso bucket S3 sottostante.
+ Nel caso delle AMI, le coppie di istantanee vengono confrontate tra l'AMI di base e quella di destinazione per identificare le istantanee per una scansione incrementale. Ogni coppia di istantanee deve soddisfare le condizioni sopra menzionate. Qualsiasi istantanea all'interno dell'AMI di destinazione che non ha un'istantanea corrispondente nell'AMI di base verrà ignorata.
### Re-scanning Risorse di backup precedentemente scansionate
È possibile avviare una nuova scansione antimalware su richiesta sulla stessa risorsa dopo 10 minuti dall'ora di inizio della scansione antimalware precedente. Se la nuova scansione antimalware viene avviata entro 10 minuti dall'avvio della precedente scansione antimalware, la richiesta genererà il seguente errore e non verrà generato alcun ID di scansione per questa richiesta. I passaggi per eseguire nuovamente la scansione dell'istanza rimangono gli stessi dell'avvio di una scansione antimalware su richiesta per la prima volta.
## Ruolo IAM richiesto per la scansione
È necessario passare un ruolo IAM per avviare una scansione completa o incrementale. Questo ruolo fornisce le autorizzazioni necessarie per eseguire le operazioni di scansione. [GuardDuty Protezione da malware per il backup: autorizzazioni per i ruoli IAM](malware-protection-backup-iam-permissions.md)fornisce l'elenco esatto delle autorizzazioni richieste, insieme alla politica di fiducia pertinente necessaria per eseguire la scansione.
## Verifica dello stato e dei risultati della scansione delle risorse
GuardDuty pubblica l'evento del risultato della scansione sul bus di eventi EventBridge predefinito di Amazon. GuardDuty utilizza la consegna almeno una volta, il che significa che potresti ricevere più risultati di scansione per lo stesso oggetto. Consigliamo di progettare le applicazioni in modo da gestire risultati duplicati. La fattura viene effettuata una sola volta per ogni oggetto scansionato.
Per ulteriori informazioni, consulta [Monitoraggio degli stati e dei risultati della scansione in Malware Protection for Backup](monitoring-malware-protection-backup-scans.md).
## Revisione dei risultati generati
La revisione dei risultati dipende dal fatto che si stia utilizzando o meno Malware Protection for Backup con GuardDuty. Considerare i seguenti scenari:
**Utilizzo di Malware Protection for Backup quando il GuardDuty servizio è abilitato (ID del rilevatore) **
Se la scansione antimalware rileva un file potenzialmente dannoso in una risorsa di backup scansionata, GuardDuty genererà un risultato associato. È possibile visualizzare i dettagli del risultato e utilizzare i passaggi consigliati per correggere potenzialmente il risultato. In base alla frequenza di [ esportazione dei risultati](https://docs.aws.amazon.com/guardduty/latest/ug/guardduty_exportfindings.html#guardduty_exportfindings-frequency), i risultati generati vengono esportati in un bucket S3 e in un bus di eventi Amazon. EventBridge
Per informazioni sul tipo di ricerca che verrebbe generato, consulta Tipi di [Tipi di ricerca di Malware Protection for Backup](findings-malware-protection-backup.md) ricerca per Malware Protection for Backup.
**Utilizzo di Malware Protection for Backup come funzionalità indipendente (nessun ID del rilevatore) **
GuardDuty non sarà in grado di generare risultati perché non è associato alcun ID del rilevatore. Per conoscere lo stato della scansione della risorsa di backup, è possibile visualizzare il risultato della scansione che GuardDuty viene pubblicato automaticamente sul bus di eventi predefinito.
Per informazioni sullo stato e sui risultati della scansione, vedere[Monitoraggio degli stati e dei risultati della scansione in Malware Protection for Backup](monitoring-malware-protection-backup-scans.md).
**Nota**
Se si utilizza anche Malware Protection for S3, è possibile che il file S3 sia stato precedentemente contrassegnato come NO\_THREATS\_FOUND e tuttavia lo stesso file possa essere visualizzato nell'elenco delle minacce per il punto di ripristino di backup a cui appartiene l'oggetto. Ciò accade perché il servizio aggiorna frequentemente le proprie firme di malware, il che potrebbe aver modificato lo stato del file. Tieni presente che in questi casi GuardDuty non torna indietro e aggiorna il tag sul file nel bucket S3 originale. L'unico modo per far applicare un tag aggiornato al file è ricaricare l'oggetto nel bucket o utilizzare la funzionalità di scansione su richiesta per S3.