Cómo corregir los hallazgos de Runtime Monitoring - Amazon GuardDuty
Corrección de imágenes de contenedor en peligro

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Cómo corregir los hallazgos de Runtime Monitoring

Cuando habilitas Runtime Monitoring para tu cuenta, Amazon GuardDuty puede generar datos GuardDuty Tipos de búsqueda de Runtime Monitoring que indiquen posibles problemas de seguridad en tu AWS entorno. Los posibles problemas de seguridad indican una EC2 instancia de Amazon, una carga de trabajo de contenedor, un EKS clúster de Amazon o un conjunto de credenciales comprometidas en su AWS entorno. El agente de seguridad monitorea los eventos de tiempo de ejecución de varios tipos de recursos. Para identificar el recurso potencialmente comprometido, consulte el tipo de recurso en los detalles de búsqueda generados en la GuardDuty consola. En la siguiente sección se describen los pasos de corrección recomendados para cada tipo de recurso.

Instance

Si el tipo de recurso en los detalles de la búsqueda es Instancia, indica que una EC2 instancia o un EKS nodo están potencialmente comprometidos.

EKSCluster

Si el tipo de recurso que aparece en los detalles de la búsqueda es el tipo de recurso EKSCluster, esto indica que un pod o un contenedor dentro de un EKS clúster están potencialmente comprometidos.

ECSCluster

Si el tipo de recurso que aparece en los detalles de la búsqueda es el mismo ECSCluster, esto indica que una ECS tarea o un contenedor dentro de una ECS tarea están potencialmente comprometidos.

  1. Identifique el ECS clúster afectado

    El hallazgo GuardDuty de Runtime Monitoring proporciona los detalles del ECS clúster en el panel de detalles del hallazgo o en la resource.ecsClusterDetails sección del hallazgoJSON.

  2. Identifique la ECS tarea afectada

    El hallazgo GuardDuty de Runtime Monitoring proporciona los detalles de la ECS tarea en el panel de detalles del hallazgo o en la resource.ecsClusterDetails.taskDetails sección del hallazgoJSON.

  3. Aísle la tarea afectada

    Aísle la tarea afectada negando todo el tráfico de entrada y salida a la tarea. Una regla que prohíba todo el tráfico puede ayudar a detener un ataque que ya está en marcha, ya que interrumpe todas las conexiones con la tarea.

  4. Corrija la tarea comprometida

    1. Identifique la vulnerabilidad que puso en peligro la tarea.

    2. Implemente la solución para esa vulnerabilidad y comience una nueva tarea de reemplazo.

    3. Detenga la tarea vulnerable.

Container

Si el tipo de recurso en los detalles del resultado es Contenedor, indica que un contenedor independiente está potencialmente en peligro.

Corrección de imágenes de contenedor en peligro

Cuando un GuardDuty hallazgo indica que una tarea está en peligro, la imagen utilizada para lanzarla podría ser maliciosa o estar comprometida. GuardDuty los hallazgos identifican la imagen del contenedor en el resource.ecsClusterDetails.taskDetails.containers.image campo. Para determinar si la imagen es maliciosa o no, escaneándola en busca de malware.

Para corregir la imagen de un contenedor comprometida

  1. Deje de usar la imagen inmediatamente y elimínela del repositorio de imágenes.

  2. Identifique todas las tareas que utilizan esta imagen.

  3. Detenga todas las tareas que utilizan la imagen comprometida. Actualice sus definiciones de tareas para que dejen de usar la imagen comprometida.