在 Guarduty 中启动按需恶意软件扫描 - Amazon GuardDuty
先决条件启动按需恶意软件扫描
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

在 Guarduty 中启动按需恶意软件扫描

本节列出了启动按需恶意软件扫描之前的先决条件，以及首次对资源启动扫描的步骤。

作为 GuardDuty 管理员账户，对于账户中设置了以下先决条件的活动成员账户，您可以代表这些账户启动按需恶意软件扫描。GuardDuty 中的独立账户和活动成员账户也可以为自己的 Amazon EC2 实例启动按需恶意软件扫描。

先决条件

在启动按需恶意软件扫描之前，您的账户必须满足以下先决条件：

  • 必须在要启动按需恶意软件扫描的 Amazon Web Services 区域中启用 GuardDuty。

  • 确保将 Amazon 托管式策略：AmazonGuardDutyFullAccess_v2（推荐） 附加到 IAM 用户或 IAM 角色。您需要与 IAM 用户或 IAM 角色关联的访问密钥和私有密钥。

  • 作为委派 GuardDuty 管理员账户，您可以选择代表活动成员账户启动按需恶意软件扫描。

  • 在启动按需恶意软件扫描之前，请确保在过去 1 小时内没有对同一资源启动扫描，否则，扫描中的重复数据将被删除。有关更多信息，请参阅 重新扫描之前已扫描的 Amazon EC2 实例。

  • 如果您是没有EC2 恶意软件防护的服务相关角色权限的成员账户，则对属于您账户的 Amazon EC2 实例启动按需恶意软件扫描后，系统将自动创建用于 EC2 恶意软件防护的 SLR。

重要

当恶意软件扫描仍在进行时，确保没有人删除 EC2 恶意软件防护的 SLR 权限。此恶意软件扫描可以由 GuardDuty 启动，也可以按需启动。删除 SLR 会使扫描无法成功完成，也无法提供明确的扫描结果。

启动按需恶意软件扫描

您可以通过 GuardDuty 控制台或使用 Amazon CLI 启动按需恶意软件扫描。您需要提供要启动扫描的 Amazon EC2 的 Amazon 资源名称（ARN）。详细步骤详见下一节中有关控制台和 API/Amazon CLI 的说明。

选择您偏好的访问方法来启动按需恶意软件扫描。

Console

  1. 通过以下网址打开 GuardDuty 控制台：https://console.aws.amazon.com/guardduty/。

  2. 使用以下选项之一启动扫描：

    1. 使用 EC2 恶意软件防护页面：

      1. 在导航窗格的防护计划下，选择 EC2 恶意软件防护。

      2. 在 EC2 恶意软件防护页面上，提供要启动扫描的 Amazon EC2 实例 ARN1。

    2. 使用恶意软件扫描页面：

      1. 在导航窗格中，选择恶意软件扫描。

      2. 选择启动按需扫描，然后提供要启动扫描的 Amazon EC2 实例 ARN1。

      3. 如果是重新执行的扫描，请在恶意软件扫描页面上，选择一个 Amazon EC2 实例 ID。

        展开开始按需扫描下拉列表，并选择重新扫描所选实例。

  3. 使用任一方法成功启动扫描后，系统将生成一个扫描 ID。您可以使用此扫描 ID 来跟踪扫描进度。有关更多信息，请参阅 监控恶意软件扫描状态和结果。

API/CLI

调用 StartMalwareScan 将接受要启动按需恶意软件扫描的 Amazon EC2 实例1 的 resourceArn。

aws guardduty start-malware-scan --resource-arn "arn:aws:ec2:us-east-1:555555555555:instance/i-b188560f"

成功启动扫描后，StartMalwareScan 会返回一个 scanId。调用 DescribeMalwareScans 可监视已启动扫描的进度。

1有关您的 Amazon EC2 实例 ARN 格式的信息，请参阅 Amazon 资源名称（ARN）。对于 Amazon EC2 实例，您可以通过替换分区、区域、Amazon Web Services 账户 ID 和 Amazon EC2 实例 ID 的值，来使用以下示例 ARN 格式。有关您的实例 ID 长度的信息，请参阅资源 ID。

arn:aws:ec2:us-east-1:555555555555:instance/i-b188560f

Amazon Organizations 服务控制策略：拒绝访问

通过在 Amazon Organizations 中使用服务控制策略（SCP），委派 GuardDuty 管理员账户可以限制权限和禁止某些操作，例如，对您账户拥有的 Amazon EC2 实例启动按需恶意软件扫描。

当您以 GuardDuty 成员账户身份为 Amazon EC2 实例启动按需恶意软件扫描时，可能会收到错误消息。您可以连接管理账户，了解为何系统为您的成员账户设置 SCP。有关更多信息，请参阅 SCP 对权限的影响。