修复运行时监控调查发现 - Amazon GuardDuty
修复被盗用的容器映像
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

修复运行时监控调查发现

当您为账户启用运行时监控时，Amazon GuardDuty 可能会生成 GuardDuty 运行时监控调查发现类型，表明您的 Amazon 环境中可能存在安全问题。潜在的安全问题表明您的 Amazon 环境中存在 Amazon EC2 实例、容器工作负载或 Amazon EKS 集群失陷，或一组凭证遭泄露。安全代理会监控来自多种资源类型的运行时事件。要识别可能受攻击的资源，请在 GuardDuty 控制台中查看生成的调查发现详细信息中的资源类型。以下部分介绍了针对每种资源类型的建议修复步骤。

Instance

如果调查发现详细信息中的资源类型为 Instance，则表示 EC2 实例或 EKS 节点可能受到攻击。

EKSCluster

如果调查发现详细信息中的资源类型为 EKSCluster，则表示 EKS 集群中的容器组或容器可能受到攻击。

ECSCluster

如果调查发现详细信息中的资源类型为 ECSCluster，则表明 ECS 任务或 ECS 任务中的容器组可能失陷。

  1. 确定受影响的 ECS 集群

    GuardDuty 运行时监控调查发现会在调查发现的详细信息面板或调查发现 JSON 的 resource.ecsClusterDetails 部分中提供 ECS 集群详细信息。

  2. 确定受影响的 ECS 任务

    GuardDuty 运行时监控调查发现会在调查发现的详细信息面板或调查发现 JSON 的 resource.ecsClusterDetails.taskDetails 部分中提供 ECS 任务详细信息。

  3. 隔离受影响的任务

    通过拒绝该任务的所有入口和出口流量来隔离受影响的任务。拒绝所有流量规则可以切断与任务的所有连接，从而帮助阻止已经开始的攻击。

  4. 修复失陷的任务

    1. 识别攻击该任务的漏洞。

    2. 实施针对该漏洞的修复程序并启动新的替换任务。

    3. 停止易受影响的任务。

Container

如果调查发现详细信息中的资源类型为 Container，则表示独立容器可能受到攻击。

修复被盗用的容器映像

GuardDuty 调查发现指示任务失陷时，可能表明用于启动任务的映像有恶意或已经失陷。GuardDuty 调查发现可识别 resource.ecsClusterDetails.taskDetails.containers.image 字段中的容器映像。您可以通过扫描恶意软件来确定映像是否有恶意。

修复失陷的容器映像

  1. 立即停止使用该映像，并将其从映像存储库中删除。

  2. 确定正在使用此映像的所有任务。

  3. 停止使用失陷映像的所有任务。更新其任务定义，以确保停止使用失陷的映像。