Corriger une fonction Lambda potentiellement compromise

Lorsque vous GuardDuty générez un résultat de protection Lambda et que l'activité est inattendue, votre fonction Lambda peut être compromise. Nous vous recommandons de procéder comme suit pour corriger une fonction Lambda compromise.

Pour corriger les résultats de la protection Lambda

1. Identifiez la version de la fonction Lambda potentiellement compromise.

   Une GuardDuty recherche pour Lambda Protection fournit le nom, le nom de ressource Amazon (ARN), la version de la fonction et l'ID de révision associés à la fonction Lambda répertoriés dans les détails de la recherche.

2. Identifiez la source de l'activité potentiellement suspecte.

   1. Examinez le code associé à la version de la fonction Lambda impliquée dans le résultat.

   2. Examinez les bibliothèques et les couches importées de la version de la fonction Lambda impliquée dans le résultat.

   3. Si vous avez activé AWS Lambda les fonctions de numérisation avec Amazon Inspector, consultez les résultats Amazon Inspector associés à la fonction Lambda impliquée dans le résultat.

   4. Passez en revue les AWS CloudTrail journaux pour identifier le principal responsable de la mise à jour de la fonction et assurez-vous que l'activité était autorisée ou attendue.

3. Corrigez la fonction Lambda potentiellement compromise.

   1. Désactivez les déclencheurs d'exécution de la fonction Lambda impliqués dans le résultat. Pour plus d'informations, consultez DeleteFunctionEventInvokeConfig.

   2. Examinez le code Lambda et mettez à jour les importations de bibliothèques et les couches de fonctions Lambda afin de supprimer les bibliothèques et les couches potentiellement suspectes.

   3. Atténuez les résultats Amazon Inspector liés à la fonction Lambda impliquée dans le résultat.