Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Prerequisiti per il AWS Fargate supporto (solo Amazon ECS)

Questa sezione include i prerequisiti per il monitoraggio del comportamento di runtime delle risorse Fargate-Amazon ECS. Una volta soddisfatti questi prerequisiti, vedere. Abilitazione del monitoraggio del GuardDuty runtime

Convalida dei requisiti relativi all'architettura

La piattaforma utilizzata può influire sul modo GuardDuty in cui il GuardDuty Security Agent supporta la ricezione degli eventi di runtime dai cluster Amazon ECS. Devi confermare di utilizzare una delle piattaforme verificate.

Piattaforme verificate

La distribuzione del sistema operativo e l'architettura della CPU influiscono sul supporto fornito dal GuardDuty security agent. La tabella seguente mostra la configurazione verificata per la distribuzione del GuardDuty security agent e la configurazione del Runtime Monitoring.

¹ Supporto per vari sistemi operativi: GuardDuty ha verificato il supporto del Runtime Monitoring per la distribuzione operativa elencata nella tabella precedente. Sebbene il GuardDuty security agent possa funzionare su sistemi operativi non elencati nella tabella precedente, il GuardDuty team non può garantire il valore di sicurezza previsto.

Prerequisiti per l'accesso all'immagine del contenitore

I seguenti prerequisiti consentono di accedere all'immagine del contenitore GuardDuty sidecar dal repository Amazon ECR.

Requisiti per le autorizzazioni

Il ruolo di esecuzione dell'attività richiede determinate autorizzazioni Amazon Elastic Container Registry (Amazon ECR) per scaricare l'immagine del contenitore GuardDuty del Security Agent:

...
      "ecr:GetAuthorizationToken",
      "ecr:BatchCheckLayerAvailability",
      "ecr:GetDownloadUrlForLayer",
      "ecr:BatchGetImage",
...

Per limitare ulteriormente le autorizzazioni di Amazon ECR, puoi aggiungere l'URI del repository Amazon ECR che ospita l'agente di GuardDuty sicurezza per (solo AWS Fargate Amazon ECS). Per ulteriori informazioni, consulta Agente di hosting del repository Amazon ECR GuardDuty.

Puoi utilizzare la policy ECSTask ExecutionRolePolicy gestita da Amazon o aggiungere le autorizzazioni di cui sopra alla tua TaskExecutionRole politica.

Configurazione della definizione dell'attività

Quando crei o aggiorni i servizi Amazon ECS, devi fornire informazioni sulla sottorete nella definizione dell'attività:

L'esecuzione di CreateServicee UpdateService APIs nell'Amazon Elastic Container Service API Reference richiede il trasferimento delle informazioni sulla sottorete. Per ulteriori informazioni, consulta le definizioni delle attività di Amazon ECS nella Amazon Elastic Container Service Developer Guide.

Requisiti di connessione di rete

È necessario garantire la connettività di rete per scaricare l'immagine del GuardDuty contenitore da Amazon ECR. Questo requisito è specifico GuardDuty perché utilizza Amazon ECR per ospitare il suo agente di sicurezza. A seconda della configurazione di rete, è necessario implementare una delle seguenti opzioni:

Per informazioni su come abilitare Fargate a scaricare il GuardDuty contenitore, consulta Using Amazon ECR images with Amazon ECS nella Amazon Elastic Container Registry User Guide.

Configurazione del gruppo di sicurezza

Le immagini dei GuardDuty container sono in Amazon ECR e richiedono l'accesso ad Amazon S3. Questo requisito è specifico per il download di immagini di container da Amazon ECR. Per le attività con accesso limitato alla rete, è necessario configurare i gruppi di sicurezza per consentire l'accesso a S3.

Aggiungi una regola in uscita nel tuo gruppo di sicurezza che consenta il traffico verso l'elenco dei prefissi gestiti di S3 (pl-xxxxxxxx) sulla porta 443. Per aggiungere una regola in uscita, consulta Configura le regole dei gruppi di sicurezza nella Amazon VPC User Guide.

Per visualizzare gli elenchi di prefissi AWS-managed nella console o descriverli utilizzando AWS Command Line Interface (AWS CLI), consulta AWS-managed prefix lists nella Amazon VPC User Guide.

Convalida della politica di controllo dei servizi dell'organizzazione in un ambiente con più account

Questa sezione spiega come convalidare le impostazioni della policy di controllo del servizio (SCP) per garantire che il Runtime Monitoring funzioni come previsto in tutta l'organizzazione.

Se avete impostato una o più politiche di controllo del servizio per gestire le autorizzazioni nella vostra organizzazione, dovete verificare che l'azione non venga negata. guardduty:SendSecurityTelemetry Per informazioni su come SCPs funziona, consulta la valutazione SCP nella Guida per l'utente.AWS Organizations

Se sei un account membro, connettiti con l'amministratore delegato associato. Per informazioni sulla gestione SCPs dell'organizzazione, consulta le politiche di controllo del servizio (SCPs) nella Guida per l'AWS Organizations utente.

Esegui i passaggi seguenti per tutto SCPs ciò che hai configurato nel tuo ambiente multi-account:

Convalida delle autorizzazioni dei ruoli e del limite delle autorizzazioni delle policy

Utilizza i seguenti passaggi per verificare che i limiti delle autorizzazioni associati al ruolo e alla relativa politica non influiscano sull'azione di restrizione. guardduty:SendSecurityTelemetry

Limiti di CPU e di memoria

Nella definizione dell'attività Fargate, è necessario specificare il valore della CPU e della memoria a livello di attività. La tabella seguente mostra le combinazioni valide di valori di CPU e memoria a livello di task e il limite massimo di memoria del GuardDuty Security Agent corrispondente per il contenitore. GuardDuty

Dopo aver abilitato il Runtime Monitoring e verificato che lo stato di copertura del cluster sia integro, puoi configurare e visualizzare le metriche di Container Insight. Per ulteriori informazioni, consulta Configurazione del monitoraggio sul cluster Amazon ECS.

Il passaggio successivo consiste nel configurare Runtime Monitoring e configurare anche il security agent.