Überwachung von S3-Objektscans in Malware Protection for S3

Wenn Sie Malware Protection for S3 mit einer GuardDuty Detektor-ID verwenden und Ihr Amazon S3 S3-Objekt potenziell bösartig ist, GuardDuty wird Folgendes generiertSuchtyp „Malware-Schutz für S3“. Mithilfe der GuardDuty Konsole und APIs können Sie sich die generierten Ergebnisse ansehen. Informationen zum Verständnis dieses Ergebnistyps finden Sie unterErkenntnisdetails.

Wenn Sie Malware Protection for S3 ohne Aktivierung verwenden GuardDuty (keine Detektor-ID), GuardDuty können auch dann keine Ergebnisse generiert werden, wenn Ihr gescanntes Amazon S3 S3-Objekt potenziell bösartig ist.

Inhalt

• Status des potenziellen Scans und Status der Ergebnisse des S3-Objekts

• Überwachung von S3-Objektscans mit Amazon EventBridge

• Überwachung von S3-Objektscans mit GuardDuty verwalteten Tags

• Statusmetriken für den S3-Objektscan in CloudWatch

Status des potenziellen Scans und Status der Ergebnisse des S3-Objekts

In diesem Abschnitt werden die möglichen Statuswerte für den S3-Objektscan und die Werte der Scanergebnisse erläutert.

Ein S3-Objektscan-Status gibt den Status des Malware-Scans an, z. B. abgeschlossen, übersprungen oder fehlgeschlagen.

Der Ergebnisstatus eines S3-Objektscans auf Schadsoftware gibt das Ergebnis des Scans auf der Grundlage des Scanstatuswerts an. Jeder Statuswert für das Ergebnis eines Malware-Scans wird einem Scanstatus zugeordnet.

Die folgende Liste enthält die potenziellen Ergebniswerte für den S3-Objektscan. Wenn Sie das Tagging aktiviert haben, können Sie das Scanergebnis anhand von Verwendung von S3-Objekt-Tags überwachen. Nach dem Scan hat der Tag-Wert einen der folgenden Scan-Ergebniswerte.

Statuswerte für die Ergebnisse der S3-Objektsuche nach potenzieller Schadsoftware

• NO_THREATS_FOUND— es GuardDuty wurde keine potenzielle Bedrohung im Zusammenhang mit dem gescannten Objekt festgestellt.

• THREATS_FOUND— hat eine potenzielle Bedrohung im Zusammenhang mit dem gescannten Objekt GuardDuty erkannt.

• UNSUPPORTED— Es gibt mehrere Gründe, warum Malware Protection for S3 einen Scan überspringt. Mögliche Gründe sind kennwortgeschützte Dateien, Archive mit extrem hohen Komprimierungsraten und die möglicherweise nicht Malware-Schutz für S3-Kontingente verfügbare Unterstützung für bestimmte Amazon S3 S3-Funktionen. Weitere Informationen finden Sie unter Funktionen des Malware-Schutzes für S3.

• ACCESS_DENIED— GuardDuty kann zum Scannen nicht auf dieses Objekt zugreifen. Überprüfen Sie die mit diesem Bucket verknüpften IAM-Rollenberechtigungen. Weitere Informationen finden Sie unter IAM-Rollenrichtlinie erstellen oder aktualisieren.

  Wenn Sie das S3-Objekt-Tagging nach dem Scan aktiviert haben, finden Sie weitere Informationen unter. Behebung von Fehlern bei S3-Objekt-Tags nach dem Scannen

• FAILED— Dieses Objekt GuardDuty kann aufgrund eines internen Fehlers nicht nach Schadsoftware gescannt werden.

Die folgende Liste enthält mögliche Statuswerte für S3-Objektscans und deren Zuordnung zum Ergebnis des S3-Objektscans.

Werte für den Status potenzieller S3-Objektscans

• Abgeschlossen — Der Scan wurde erfolgreich abgeschlossen und gibt an, ob das S3-Objekt Schadsoftware enthält. In diesem Fall könnte der potenzielle Ergebniswert des S3-Objektscans entweder THREATS_FOUND oder seinNO_THREATS_FOUND.

• Übersprungen — GuardDuty überspringt einen Malware-Scan, wenn das Scannen dieses S3-Objekts nicht von Malware Protection for S3 unterstützt wird oder wenn GuardDuty kein Zugriff auf das hochgeladene S3-Objekt im ausgewählten Bucket besteht.

  In diesem Fall könnte der potenzielle Ergebniswert für den S3-Objektscan entweder oder UNSUPPORTED lauten. ACCESS_DENIED

  GuardDuty überspringt den Scan auch, wenn die erforderliche IAM-Rolle gelöscht wird.

• Fehlgeschlagen — Ähnlich dem Ergebniswert FAILED des S3-Objektscans bedeutet dieser Scanstatus, GuardDuty dass aufgrund eines internen Fehlers kein Malware-Scan für das S3-Objekt durchgeführt werden konnte.

Wenn der Scanstatus lautetSKIPPED, enthält die EventBridge Benachrichtigung für das Ergebnis des S3-Objektscans ein statusReasons Feld darinscanResultDetails. Dieses Feld ist eine Liste von Zeichenketten, die den genauen Grund angeben, warum der Scan übersprungen wurde. In der folgenden Tabelle werden die möglichen statusReasons Werte beschrieben.

Grund für den Status	Status der Scanergebnisse	Description
UNAUTHORIZED_TO_GET_OBJECT	ACCESS_DENIED	Malware Protection for S3 ist nicht berechtigt, das S3-Objekt zu lesen, oder das S3-Objekt ist nicht vorhanden. Stellen Sie sicher, dass die IAM-Rolle, die dem geschützten Bucket zugeordnet ist, über die erforderlichen Berechtigungen verfügt und dass alle AWS KMS Bucket-Richtlinien es der Rolle ermöglichen, Objekte zu entschlüsseln.
UNAUTHORIZED_TO_ASSUME_ROLE	ACCESS_DENIED	Malware Protection for S3 kann die für den geschützten Bucket konfigurierte IAM-Rolle nicht übernehmen. Stellen Sie sicher, dass die Vertrauensrichtlinie für Rollen es Malware Protection for S3 ermöglicht, die Rolle zu übernehmen.
SSE_C_ENCRYPTED_OBJECT	ACCESS_DENIED	Das S3-Objekt ist mit einem vom Kunden bereitgestellten Verschlüsselungsschlüssel (SSE-C) verschlüsselt. GuardDuty kann nicht auf Objekte zugreifen, die mit SSE-C verschlüsselt wurden. Weitere Informationen finden Sie unter. Unterstützbarkeit der Amazon S3 S3-Funktionen
OBJECT_E_TAG_CHANGED	ACCESS_DENIED	Das S3-Objekt ETag hat sich zwischen der Initiierung des Scans und dem GuardDuty Versuch, das Objekt zu lesen, geändert. Der nachfolgende Upload oder die neue Version wird gescannt.
BUCKET_NOT_FOUND	ACCESS_DENIED	Der mit dem Scan verknüpfte S3-Bucket ist nicht mehr vorhanden.
UNSUPPORTED_STORAGE_CLASS	UNSUPPORTED	Das S3-Objekt verwendet eine Speicherklasse, die von Malware Protection for S3 nicht unterstützt wird. Weitere Informationen finden Sie unter Unterstützbarkeit der Amazon S3 S3-Funktionen.
OBJECT_SIZE_LIMIT_EXCEEDED	UNSUPPORTED	Die S3-Objektgröße überschreitet die maximale Dateigrößenbeschränkung für Malware Protection for S3. Weitere Informationen finden Sie unter Malware-Schutz für S3-Kontingente.
PASSWORD_PROTECTED	UNSUPPORTED	Das Objekt ist kennwortgeschützt.
EXTRACTED_FILE_LIMIT_EXCEEDED	UNSUPPORTED	Das Archiv enthält mehr Dateien als die zulässige Höchstmenge. Weitere Informationen finden Sie unter Malware-Schutz für S3-Kontingente.
EXTRACTED_LEVEL_LIMIT_EXCEEDED	UNSUPPORTED	Das Archiv überschreitet die maximal zulässige Verschachtelungstiefe.
EXTRACTED_BYTE_LIMIT_EXCEEDED	UNSUPPORTED	Der extrahierte Archivinhalt überschreitet die maximal zulässige Bytegröße. Weitere Informationen finden Sie unter Malware-Schutz für S3-Kontingente.
EXTRACTION_RATIO_LIMIT_EXCEEDED	UNSUPPORTED	Das Archiv hat eine extrem hohe Komprimierungsrate, die die zulässige Grenze überschreitet. Weitere Informationen finden Sie unter Malware-Schutz für S3-Kontingente.