Corrigindo um ponto de recuperação potencialmente comprometido EC2 - Amazon GuardDuty

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Corrigindo um ponto de recuperação potencialmente comprometido EC2

Quando GuardDuty gera uma execução:EC2/MaliciousFile! RecoveryPoint tipo de descoberta, indica que o malware foi detectado em um recurso de Backup do EC2 Recovery Point. Execute as etapas a seguir para corrigir o ponto de recuperação potencialmente comprometido:

  1. Identifique o ponto de EC2 recuperação potencialmente comprometido

    1. Uma GuardDuty descoberta para o EC2 Recovery Point listará seu Amazon Resource Name (ARN) e os detalhes da verificação de malware associada nos detalhes da descoberta:

      aws backup describe-recovery-point --backup-vault-name 021345abcdef6789 --recovery-point-arn "arn:aws:backup:us-east-1:111122223333:recovery-point:a1b2c3d4-5678-90ab-cdef-EXAMPLE11111"
    2. Review recovery details to look for source image: 
      aws backup get-recovery-point-restore-metadata --backup-vault-name 021345abcdef6789 --recovery-point-arn "arn:aws:backup:us-east-1:111122223333:recovery-point:a1b2c3d4-5678-90ab-cdef-EXAMPLE11111"

  2. Restrinja o acesso aos recursos comprometidos

    • Revise e modifique as políticas de acesso ao cofre de backup para restringir o acesso ao ponto de recuperação e suspender quaisquer trabalhos de restauração automatizados que possam usar esse ponto de recuperação. Se seu ambiente usa marcação de recursos, marque o ponto de recuperação adequadamente para indicar que ele está sob investigação e considere pausar os backups agendados, se necessário.

      Exemplo:

      aws backup tag-resource -—resource-arn arn:aws:backup:us-east-1:111122223333:recovery-point:a1b2c3d4-5678-90ab-cdef-EXAMPLE11111 -—tags Investigation=Malware,DoNotDelete=True

  3. Tome medidas de remediação

    • Antes de prosseguir com a exclusão, certifique-se de ter identificado todas as dependências e de ter backups adequados, se necessário.