Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

中的恶意软件防护 Amazon Backup

Amazon 恶意软件防护会对您的备份进行 GuardDuty 恶意软件扫描。使用 Amaz GuardDuty on Malware Protection， Amazon Backup 您可以通过现有备份工作流程自动扫描恢复点，或者启动对先前创建的备份的按需扫描。这种 Amazon 原生解决方案有助于确保您的备份免受潜在恶意软件的侵害，从而使您能够满足合规性要求并通过确保恢复干净的数据来更快地应对恶意事件。

要查看支持的资源类型和区域列表，请访问功能可用性页面。

与亚马逊集成 GuardDuty

Amazon Backup 与 Amazon GuardDuty 恶意软件防护集成，为您的恢复点提供威胁检测。当您开始恶意软件扫描时， Amazon Backup 会在每次备份完成后自动调用 Amazon GuardDuty 的 StartMalwareScan API，传递恢复点详细信息和您的扫描器角色证书。 GuardDuty 然后，Amazon 开始读取、解密和扫描备份中的所有文件和对象。

当 Amazon GuardDuty 访问您的备份数据时，系统会登录该访问权限以 Amazon CloudTrail 供查看。

有关此集成的更多信息，请参阅 Amazon GuardDuty 恶意软件防护文档。

如何使用恶意软件扫描

当您将 Amazon GuardDuty 恶意软件防护与配合使用时 Amazon Backup，可以自动扫描备份中是否存在恶意软件。此集成可帮助您检测备份中的恶意代码，并确定恢复操作的干净恢复点。

Amazon GuardDuty 恶意软件保护支持扫描备份的两个主要工作流程：

访问

在开始使用恶意软件防护之前，您的账户必须具有所需的操作权限。

Amazon Backup 恶意软件扫描需要两个 IAM 角色来扫描恢复点中是否存在潜在的恶意软件：

增量扫描与完整扫描

使用恶意软件扫描，您可以根据自己的安全要求和成本考虑在增量扫描和完整扫描之间进行选择。

增量扫描仅分析在目标恢复点和基本恢复点之间更改的数据。对于常规扫描来说，这些扫描速度更快、更具成本效益，因此非常适合频繁的定期备份，在这些备份中要扫描新备份的数据。

即使选择了增量扫描，也会在以下情况下 Amazon Backup 执行完全扫描：

无论之前的@@ 扫描如何，完整扫描都会检查整个恢复点。虽然这些扫描提供了全面的覆盖范围，但它们需要更长的时间才能完成，并且会产生更高的成本。您可以按需运行全面扫描，也可以通过备份计划进行计划。 Amazon Backup 建议在备份计划中配置定期进行全面扫描，确保使用最新的恶意软件特征码模型定期扫描整个备份数据。

为了实现最佳的安全性与成本管理，请在选择扫描类型时考虑备份频率。

监控您的恶意软件扫描

启用扫描后，两者 Amazon Backup 和 Amazon 都 GuardDuty 提供了可用于跟踪结果的监控和通知机制：

了解扫描结果

您的扫描任务 Amazon Backup 将显示扫描状态和扫描结果。

扫描状态

扫描状态表示任务状态，其值可以为：CREATED、COMPLETED、COMPLETED_WITH_ISSUESRUNNING、FAILED、或CANCELED。

在多种情况下，您的扫描任务将以状态结束COMPLETED_WITH_ISSUES：

对于 Amazon S3 备份，存在对象 size/type 限制，这会阻止对对象进行扫描。当扫描中至少跳过一个对象时，相应的扫描任务将被标记为COMPLETED_WITH_ISSUES。对于 Ama EC2 zon /Amazon EBS 备份，存在卷 size/quantity 限制，这会导致在扫描过程中跳过卷。这些情况将导致 Amazon EC2 /Amazon EBS 的备份任务。COMPLETED_WITH_ISSUES

如果您的任务以状态结束，COMPLETED_WITH_ISSUES并且您需要有关原因的更多信息，则需要通过 Amazon 从相应的扫描任务中获取这些详细信息 GuardDuty。

在极少数情况下，Amazon 在扫描文件和对象时 GuardDuty 可能会遇到内部问题，并且重试尝试可能会用尽。发生这种情况时，扫描任务将显示为FAILED在 Amazon Amazon Backup 和 Amazon COMPLETED_WITH_ISSUES 中 GuardDuty。这种状态差异允许您在 Amazon 中查看可用的扫描结果， GuardDuty 同时表明并非所有支持的文件和对象都已成功扫描。

扫描结果

扫描结果表示来自 Amazon 的汇总结果 GuardDuty ，其值可以为：THREATS_FOUND、或NO_THREATS_FOUND。

扫描结果表明您的恢复点中是否检测到潜在的恶意软件。NO_THREATS_FOUND状态表示未检测到潜在的恶意软件，而THREATS_FOUND表示发现了潜在的恶意软件。要了解详细的威胁信息，请通过 Amazon GuardDuty 控制台或访问完整的亚马逊 GuardDuty 调查结果 APIs。扫描结果还可以通过 EventBridge 事件获得，这使您可以构建自动工作流程来响应受感染的备份。

Amazon GuardDuty 会将发现结果保留 90 天，通过增量扫描跟踪文件或对象，以监控威胁是否被删除或恶意软件签名是否发生变化。例如，如果在备份 2 中检测到恶意软件，则会显示扫描结果THREATS_FOUND。当您使用备份 2 作为基础对备份 3 执行增量扫描时，THREATS_FOUND除非威胁已从数据中删除，否则扫描结果将保持不变。

扫描失败疑难解答

常见的扫描失败包括 IAM 权限不足、服务限制和资源访问问题。

当备份角色缺少AWSBackupServiceRolePolicyForScans权限或扫描者角色没有适当的信任关系时，就会发生AWSBackupGuardDutyRolePolicyForScans权限@@ 错误。

当您超过每个账户 150 次并发扫描或每种资源类型 5 次并发扫描时，就会发生@@ 服务限制错误 ——在容量可用之前，扫描任务将保持CREATED状态。

访问被拒绝错误可能表示没有适当 Amazon KMS 权限的加密恢复点或删除了增量扫描的父恢复点。

恢复点过大或在 Amazon GuardDuty 负载较高时段可能会出现@@ 超时故障。

要排除故障，请使用 DescribeScanJob API 检查扫描任务状态，验证 IAM 角色配置，确保恢复点存在且可访问，如果缺少增量扫描父引用，请考虑切换到完整扫描。

监控您的并发扫描使用情况，并在自动化工作流程中实现抖动，以避免达到服务限制。

计量

恶意软件保护由 Amazon GuardDuty 提供并收费。您不会看到与使用此功能相关的任何 Amazon Backup 费用。所有使用情况均可在亚马逊 GuardDuty账单下查看。要了解更多信息，请访问 Amazon GuardDuty 定价。

配额

两者 Amazon Backup GuardDuty 都有亚马逊 GuardDuty 恶意软件防护的配额限制 Amazon Backup。

有关更多信息，请访问Amazon Backup 配额和 Amazon GuardDuty 配额。

恶意软件扫描类型的控制台和 CLI 使用步骤

以下各节显示了使用控制台和配置不同恶意软件扫描类型的步骤 Amazon CLI。

如何设置恶意软件扫描

控制台

Amazon CLI

CreateBackupPlan

您可以使用create-backup-plan命令创建启用恶意软件扫描的备份计划。

aws backup create-backup-plan \
    --region us-west-2 \
    --cli-input-json '{
                        "BackupPlan": {
                          "BackupPlanName": "scan-initial-test-demo",
                          "Rules": [
                            {
                              "RuleName": "full",
                              "TargetBackupVaultName": "Default",
                              "ScheduleExpression": "cron(0 * * * ? *)",
                              "StartWindowMinutes": 120,
                              "CompletionWindowMinutes": 6000,
                              "Lifecycle": {
                                "DeleteAfterDays": 3,
                                "OptInToArchiveForSupportedResources": true
                              },
                              "RecoveryPointTags": {
                                "key1": "foo",
                                "key2": "foo"
                              },
                              "EnableContinuousBackup": true,
                              "ScanActions": [
                                {
                                  "MalwareScanner": "GUARDDUTY",
                                  "ScanMode": "FULL_SCAN"
                                }
                              ]
                            },
                            {
                              "RuleName": "incremental",
                              "TargetBackupVaultName": "Default",
                              "ScheduleExpression": "cron(30 * * * ? *)",
                              "StartWindowMinutes": 100,
                              "CompletionWindowMinutes": 5000,
                              "Lifecycle": {
                                "DeleteAfterDays": 2,
                                "OptInToArchiveForSupportedResources": true
                              },
                              "RecoveryPointTags": {
                                "key1": "foo",
                                "key2": "foo"
                              },
                              "EnableContinuousBackup": true,
                              "ScanActions": [
                                {
                                  "MalwareScanner": "GUARDDUTY",
                                  "ScanMode": "INCREMENTAL_SCAN"
                                }
                              ]
                            }
                          ],
                          "ScanSettings": [
                            {
                              "MalwareScanner": "GUARDDUTY",
                              "ResourceTypes": ["EBS", "EC2", "S3"],
                              "ScannerRoleArn": "arn:aws:iam::300949271314:role/TestBackupScannerRole"
                            }
                          ]
                        }
                      }'

UpdateBackupPlan

您可以使用update-backup-plan命令更新启用恶意软件扫描的备份计划。

aws backup update-backup-plan \
    --region us-west-2 \
    --cli-input-json '{
                        "BackupPlanId": "d1391282-68cf-4fce-93ad-e08bc5178bac",
                        "BackupPlan": {
                        "BackupPlanName": "scan-initial-test-demo",
                        "Rules": 
                          [
                            {"RuleName": "full",
                            "TargetBackupVaultName": "Default",
                            "ScheduleExpression": "cron(0 * * * ? *)",
                            "StartWindowMinutes": 60,
                            "CompletionWindowMinutes": 3000,
                            "Lifecycle": 
                              {
                              "DeleteAfterDays": 6,
                              "OptInToArchiveForSupportedResources": false},
                            "RecoveryPointTags": 
                              {"key1": "foo",
                              "key2": "foo"},
                            "EnableContinuousBackup": false,
                            "ScanActions": 
                              [
                                {"MalwareScanner": "GUARDDUTY",
                                "ScanMode": "FULL_SCAN"}
                              ]
                            },
                            {
                              "RuleName": "incremental",
                              "TargetBackupVaultName": "Default",
                              "ScheduleExpression": "cron(30 * * * ? *)",
                              "StartWindowMinutes": 120,
                              "CompletionWindowMinutes": 6000,
                              "Lifecycle": 
                                {
                                "DeleteAfterDays": 9,
                                "OptInToArchiveForSupportedResources": false},
                              "RecoveryPointTags": 
                                {"key1": "foo",
                                "key2": "foo"},
                              "EnableContinuousBackup": false,
                              "ScanActions": 
                                [
                                  {
                                  "MalwareScanner": "GUARDDUTY",
                                  "ScanMode": "INCREMENTAL_SCAN"
                                  }
                                ]
                            }
                          ],
                        "ScanSettings": 
                          [
                            {
                            "MalwareScanner": "GUARDDUTY",
                            "ResourceTypes": 
                              ["ALL", "EBS"],
                            "ScannerRoleArn": "arn:aws:iam::300949271314:role/TestBackupScannerRole"
                            }
                          ]
                        }
                      }'

关键笔记

Amazon CLI 关键笔记