EC2 인스턴스 스택 | Log4j 정보 수집

변경 유형 버전을 확인하려면 다음 명령을 사용합니다.

aws amscm list-change-type-version-summaries --filter Attribute=ChangeTypeId,Value=CT_ID

인라인 생성:

인라인으로 제공된 실행 파라미터(실행 파라미터를 인라인으로 제공할 때 이스케이프 따옴표)로 RFC 생성 명령을 실행한 다음 반환된 RFC ID를 제출합니다. 예를 들어 콘텐츠를 다음과 같은 내용으로 바꿀 수 있습니다.

버전 2.0:

모든 인스턴스를 스캔합니다.

aws amscm create-rfc --change-type-id "ct-19f40lfm5umy8" --change-type-version "2.0" --title "Log4j Investigation" --execution-parameters "{\"DocumentName\":\"AWSManagedServices-GatherLog4jInformation\",\"Region\":\"us-east-1\",\"Parameters\":{\"S3Bucket\":[\"s3://BUCKET_NAME\"]},\"TargetParameterName\": \"InstanceId\",\"Targets\": [{\"Key\": \"AWS::EC2::Instance\",\"Values\": [\"*\"]}],\"MaxConcurrency\": \"10\",\"MaxErrors\": \"100%\"}"

인스턴스 목록을 스캔합니다.

aws amscm create-rfc --change-type-id "ct-19f40lfm5umy8" --change-type-version "2.0" --title "Log4j Investigation" --execution-parameters "{\"DocumentName\":\"AWSManagedServices-GatherLog4jInformation\",\"Region\":\"us-east-1\",\"Parameters\":{\"S3Bucket\":[\"s3://BUCKET_NAME\"]},\"TargetParameterName\": \"InstanceId\",\"Targets\": [{\"Key\": \"ParameterValues\",\"Values\": [\"INSTANCE_ID_1\",\"INSTANCE_ID_2\",\"INSTANCE_ID_3\",\"INSTANCE_ID_4\",\"INSTANCE_ID_5\"]}],\"MaxConcurrency\": \"10\",\"MaxErrors\": \"100%\"}"

템플릿 생성:

1. 이 변경 유형의 실행 파라미터를 JSON 파일로 출력합니다.이 예제에서는 이름을 GatherLog4jInfoParams.json:으로 지정합니다.

   aws amscm get-change-type-version --change-type-id "ct-19f40lfm5umy8" --query "ChangeTypeVersion.ExecutionInputSchema" --output text > GatherLog4jInfoParams.json

2. 변경하려는 파라미터만 유지하면서 GatherLog4jInfoParams 파일을 수정하고 저장합니다. 예를 들어 콘텐츠를 다음과 같은 내용으로 바꿀 수 있습니다.

   버전 2.0:

   모든 인스턴스를 스캔합니다.

   {
     "DocumentName": "AWSManagedServices-GatherLog4jInformation",
     "Region": "us-east-1",
     "Parameters": {
       "S3Bucket": [
         "s3://BUCKET_NAME"
       ]
     },
     "TargetParameterName": "InstanceId",
     "Targets": [
       {
         "Key": "AWS::EC2::Instance",
         "Values": [
           "*"
         ]
       }
     ],
     "MaxConcurrency": "10",
     "MaxErrors": "100%"
   }

   인스턴스 목록을 스캔합니다.

   {
     "DocumentName": "AWSManagedServices-GatherLog4jInformation",
     "Region": "us-east-1",
     "Parameters": {
       "S3Bucket": [
         "s3://BUCKET_NAME"
       ]
     },
     "TargetParameterName": "InstanceId",
     "Targets": [
       {
         "Key": "ParameterValues",
         "Values": [
           "INSTANCE_ID_1",
           "INSTANCE_ID_2",
           "INSTANCE_ID_3",
           "INSTANCE_ID_4",
           "INSTANCE_ID_5"
         ]
       }
     ],
     "MaxConcurrency": "10",
     "MaxErrors": "100%"
   }

3. RFC 템플릿을 현재 폴더의 파일로 출력합니다.이 예제에서는 이름을 GatherLog4jInfoRfc.json:으로 지정합니다.

   aws amscm create-rfc --generate-cli-skeleton > GatherLog4jInfoRfc.json

4. GatherLog4jInfoRfc.json 파일을 수정하고 저장합니다. 예를 들어 콘텐츠를 다음과 같은 내용으로 바꿀 수 있습니다.

   {
   "ChangeTypeVersion":    "2.0",
   "ChangeTypeId":         "ct-19f40lfm5umy8",
   "Title":                "Log4j Investigation"
   }

5. GatherLog4jInfoRfc 파일과 GatherLog4jInfoParams 파일을 지정하여 RFC를 생성합니다.

   aws amscm create-rfc --cli-input-json file://GatherLog4jInfoRfc.json  --execution-parameters file://GatherLog4jInfoParams.json

1. AWS 관리 콘솔의 모든 페이지 또는 AWS 리전에서 AWS CloudShell을 열어 다음에 표시된 스크립트를 실행합니다. AWSManagedServicesReadOnlyRole 역할을 사용하여 AWS Management Console에 로그인했는지 확인합니다.

   # Specify the S3 bucket and AWS region that contains the individual CSV files:
   BUCKET_NAME="YOUR BUCKET HERE"
   BUCKET_REGION="THE BUCKET REGION HERE"
   
   # Aggregate the CSV files:
   mkdir -p log4j-report
   aws s3 cp s3://$BUCKET_NAME/ams/log4j-scan/ ./log4j-report --recursive --include "*.csv"
   echo "aws_account_id,region,scan_time,instance_id,scan_type,location" > log4j-report/report.csv
   for i in `find log4j-report -type f \( -iname "*.csv" ! -iname "report.csv" \)`; do awk 'FNR > 1' $i >> log4j-report/report.csv; done
   
   # Upload the report to the same S3 bucket:
   file_name="report_$(date -d "today" +"%Y%m%d%H%M").csv"
   aws s3 cp log4j-report/report.csv s3://$BUCKET_NAME/ams/log4j-reports/$file_name
   
   # Open the following URL and select \"Download\" to download the report:
   echo "Report uploaded to: https://s3.console.aws.amazon.com/s3/object/$BUCKET_NAME?region=$BUCKET_REGION&prefix=ams/log4j-reports/$file_name"

   스크립트는 보고서를 다운로드할 S3 URL을 출력합니다.

2. URL을 복사하여 연 다음 다운로드를 선택합니다.