Come funziona il monitoraggio del runtime con le istanze Amazon EC2

Le tue istanze Amazon EC2 possono eseguire diversi tipi di applicazioni e carichi di lavoro nel tuo ambiente. AWS Quando abiliti il Runtime Monitoring e gestisci il GuardDuty security agent, ti GuardDuty aiuta a rilevare le minacce nelle istanze Amazon EC2 esistenti e in quelle potenzialmente nuove. Questa funzionalità supporta anche le istanze Amazon EC2 gestite da Amazon ECS.

L'abilitazione del monitoraggio del runtime consente GuardDuty di utilizzare gli eventi di runtime dei processi attualmente in esecuzione e dei nuovi processi all'interno delle istanze Amazon EC2. GuardDuty richiede un agente di sicurezza a cui inviare gli eventi di runtime dall'istanza EC2 a. GuardDuty

Per le istanze Amazon EC2, il GuardDuty security agent opera a livello di istanza. Puoi decidere se monitorare tutte le istanze Amazon EC2 o solo alcune istanze Amazon EC2 nel tuo account. Se desideri gestire istanze selettive, l'agente di sicurezza è necessario solo per queste istanze.

GuardDuty può anche utilizzare eventi di runtime da nuove attività e attività esistenti in esecuzione in istanze Amazon EC2 all'interno di cluster Amazon ECS.

Per installare l'agente GuardDuty di sicurezza, Runtime Monitoring offre le seguenti due opzioni:

• Utilizza la configurazione automatica degli agenti (scelta consigliata), oppure

• Gestisci manualmente l'agente di sicurezza

Utilizza la configurazione automatica degli agenti tramite GuardDuty (consigliato)

Utilizza la configurazione automatizzata dell'agente che consente GuardDuty di installare l'agente di sicurezza sulle tue istanze Amazon EC2 per tuo conto. GuardDuty gestisce anche gli aggiornamenti del security agent.

Per impostazione predefinita, GuardDuty installa il security agent su tutte le istanze dell'account. Se desideri GuardDuty installare e gestire il security agent solo per istanze EC2 selezionate, aggiungi tag di inclusione o esclusione alle tue istanze EC2, se necessario.

A volte, potresti non voler monitorare gli eventi di runtime per tutte le istanze Amazon EC2 che appartengono al tuo account. Nei casi in cui desideri monitorare gli eventi di runtime per un numero limitato di istanze, aggiungi un tag di inclusione comeGuardDutyManaged: true a queste istanze selezionate. A partire dalla disponibilità della configurazione automatizzata degli agenti per Amazon EC2, se l'istanza EC2 ha un tag di inclusione (GuardDutyManaged:true), GuardDuty rispetterà il tag e gestirà il security agent per le istanze selezionate anche quando non abiliti esplicitamente la configurazione automatica dell'agente.

D'altra parte, se esiste un numero limitato di istanze EC2 per le quali non desideri monitorare gli eventi di runtime, aggiungi un tag di esclusione (:) GuardDutyManaged a queste istanze selezionate. false GuardDuty rispetterà il tag di esclusione non installando né gestendo il security agent per queste risorse EC2.

Impatto

Quando utilizzi la configurazione automatizzata degli agenti in un'organizzazione Account AWS o in un'organizzazione, autorizzi GuardDuty a eseguire le seguenti operazioni per tuo conto:

• GuardDuty crea un'associazione SSM per tutte le istanze Amazon EC2 gestite da SSM e visualizzate in Fleet Manager nella console https://console.aws.amazon.com/systems-manager/.

• Utilizzo dei tag di inclusione con la configurazione automatica dell'agente disabilitata: dopo aver abilitato il Runtime Monitoring, quando non abiliti la configurazione automatica dell'agente ma aggiungi il tag di inclusione alla tua istanza Amazon EC2, significa che stai autorizzando GuardDuty a gestire il security agent per tuo conto. L'associazione SSM installerà quindi l'agente di sicurezza in ogni istanza che ha il tag di inclusione (:)GuardDutyManaged. true

• Se abiliti la configurazione automatica dell'agente, l'associazione SSM installerà quindi il security agent in tutte le istanze EC2 che appartengono al tuo account.

• Utilizzo dei tag di esclusione con la configurazione automatica degli agenti: prima di abilitare la configurazione automatica degli agenti, quando aggiungi un tag di esclusione alla tua istanza Amazon EC2, significa che stai GuardDuty autorizzando a impedire l'installazione e la gestione del security agent per l'istanza selezionata.

  Ora, quando abiliti la configurazione automatizzata dell'agente, l'associazione SSM installerà e gestirà l'agente di sicurezza in tutte le istanze EC2 ad eccezione di quelle contrassegnate con il tag di esclusione.

• GuardDuty crea endpoint VPC in tutti i VPC, compresi i VPC condivisi, purché in quel VPC sia presente almeno un'istanza Linux EC2 che non si trovi nello stato di terminazione o di chiusura dell'istanza. Per informazioni sui diversi stati delle istanze, consulta il ciclo di vita dell'istanza nella Guida per l'utente di Amazon EC2.

  GuardDuty supporta anche. Utilizzo di VPC condiviso con agenti di sicurezza automatizzati Dopo aver considerato tutti i prerequisiti per l'organizzazione Account AWS, GuardDuty utilizzerà il VPC condiviso per ricevere eventi di runtime.

  Nota

  Non sono previsti costi aggiuntivi per l'utilizzo dell'endpoint VPC.

Gestisci manualmente l'agente di sicurezza

Esistono due modi per gestire manualmente l'agente di sicurezza per Amazon EC2:

• Utilizza i documenti GuardDuty gestiti AWS Systems Manager per installare l'agente di sicurezza sulle tue istanze Amazon EC2 che sono già gestite tramite SSM.

  Ogni volta che avvii una nuova istanza Amazon EC2, assicurati che sia abilitata SSM.

• Usa gli script RPM Package Manager (RPM) per installare il security agent sulle tue istanze Amazon EC2, indipendentemente dal fatto che siano gestite tramite SSM o meno.

Approfondimenti

Per iniziare a utilizzare la configurazione di Runtime Monitoring per monitorare le istanze Amazon EC2, consulta. Prerequisiti per il supporto delle istanze Amazon EC2