Malware Protection for EC2 スキャン中にリソースをスキップする CloudWatch ログと理由を理解する

GuardDuty Malware Protection for EC2 は、Amazon CloudWatch ロググループ /aws/guardduty/malware-scan-events にイベントを発行します。マルウェアスキャンに関連する各イベントについて、影響を受けるリソースのステータスとスキャン結果を監視できます。特定の Amazon EC2 リソースと Amazon EBS ボリュームは、EC2 の Malware Protection スキャン中にスキップされている可能性があります。

Malware Protection for EC2 GuardDuty での CloudWatch ログの監査

/aws/guardduty/malware-scan-events CloudWatch log グループでは、3 種類のスキャンイベントがサポートされています。

EC2 スキャンイベント名の Malware Protection	説明
EC2_SCAN_STARTED	GuardDuty Malware Protection for EC2 が EBS ボリュームのスナップショットを作成する準備など、マルウェアスキャンのプロセスを開始したときに作成されます。
EC2_SCAN_COMPLETED	影響を受けたリソースの少なくとも 1 つの EBS ボリュームの GuardDuty Malware Protection for EC2 スキャンが完了したときに作成されます。このイベントには、スキャンされた EBS ボリュームに属する snapshotId も含まれます。スキャンが完了すると、スキャン結果は、CLEAN、THREATS_FOUND、または NOT_SCANNED のいずれかになります。
EC2_SCAN_SKIPPED	GuardDuty Malware Protection for EC2 スキャンが、影響を受けるリソースのすべての EBS ボリュームをスキップしたときに作成されます。スキップ理由を特定するには、対応するイベントを選択し、詳細を表示します。スキップの理由の詳細については、以下の「マルウェアスキャン中にリソースをスキップする理由」を参照してください。

注記

を使用している場合 AWS Organizations、Organizations のメンバーアカウントからの CloudWatch ログイベントは、管理者アカウントとメンバーアカウントのロググループの両方に発行されます。

任意のアクセス方法を選択して、 CloudWatch イベントを表示およびクエリします。

Console

1. にサインイン AWS Management Console し、https://console.aws.amazon.com/cloudwatch/ で CloudWatch コンソールを開きます。

2. ナビゲーションペインで、[Logs] (ログ)、[Log groups] (ロググループ) の順に選択します。Malware Protection for EC2 のスキャンイベントを表示するには、/aws/guardduty/malware-scan-events GuardDuty ロググループを選択します。

   クエリを実行するには、[Log Insights] (ログのインサイト) を選択してください

   クエリの実行の詳細については、「Amazon ユーザーガイド」の「Logs Insights を使用した CloudWatch ログデータの分析」を参照してください。 CloudWatch

3. [Scan ID] (スキャン ID) を選択して、影響を受けたリソースとマルウェアの検出結果の詳細を監視します。例えば、次のクエリを実行して、 を使用して CloudWatch ログイベントをフィルタリングできますscanId。ご自身の有効な Scan-ID を使用してください。

   fields @timestamp, @message, scanRequestDetails.scanId as scanId
   | filter scanId like "77a6f6115da4bd95f4e4ca398492bcc0"
   | sort @timestamp asc

API/CLI

• ロググループを使用するには、「Amazon ユーザーガイド」の「 を使用してログエントリを検索する AWS CLI」を参照してください。 CloudWatch

  Malware Protection for EC2 のスキャンイベントを表示するには、/aws/guardduty/malware-scan-events GuardDuty ロググループを選択します。

• ログイベントを表示およびフィルタリングするには、「Amazon CloudWatch API リファレンス」のFilterLogEventsGetLogEvents「」と「」をそれぞれ参照してください。

GuardDuty EC2 ログ保持の Malware Protection

/aws/guardduty/malware-scan-events ロググループのデフォルトのログ保持期間は 90 日です。その後、ログイベントは自動的に削除されます。ロググループの CloudWatch ログ保持ポリシーを変更するには、「Amazon ユーザーガイド」の CloudWatch 「ログでのログデータ保持の変更」、またはPutRetentionPolicy「Amazon CloudWatch API リファレンス」の「」を参照してください。 CloudWatch

マルウェアスキャン中にリソースをスキップする理由

マルウェアスキャンに関連するイベントでは、特定の EC2 リソースと EBS ボリュームがスキャンプロセス中にスキップされた可能性があります。次の表に、 GuardDuty Malware Protection for EC2 がリソースをスキャンしない理由を示します。該当する場合は、提案されたステップを使用してこれらの問題を解決し、次に GuardDuty Malware Protection for EC2 がマルウェアスキャンを開始したときにこれらのリソースをスキャンします。その他の問題は、イベントの経過を知らせるために使用されるものであり、対応不要です。

スキップの理由	説明	提案されるステップ
RESOURCE_NOT_FOUND	オンデマンドのマルウェアスキャンを開始する にresourceArn提供された は、 AWS 環境で見つかりませんでした。	Amazon EC2 インスタンスの resourceArn またはコンテナのワークロードを検証して、もう一度試してください。
ACCOUNT_INELIGIBLE	オンデマンドのマルウェアスキャンを開始しようとした AWS アカウント ID が を有効にしていません GuardDuty。	この AWS アカウントで GuardDuty が有効になっていることを確認します。 新しい GuardDuty で を有効にすると、同期に最大 20 分かかる AWS リージョン 場合があります。
UNSUPPORTED_KEY_ENCRYPTION	GuardDuty Malware Protection for EC2 は、暗号化されていないボリュームと、カスタマーマネージドキーで暗号化されたボリュームの両方をサポートします。Amazon EBS 暗号化を使用して暗号化された EBS ボリュームのスキャンはサポートされていません。 現在、このスキップ理由が適用されない地域的な違いがあります。これらの の詳細については AWS リージョン、「」を参照してくださいリージョン固有機能の可用性。	暗号化キーをカスタマーマネージドキーに置き換えます。が GuardDuty サポートする暗号化のタイプの詳細については、「」を参照してくださいマルウェアスキャンでサポートされている Amazon EBSボリューム。
EXCLUDED_BY_SCAN_SETTINGS	EC2 インスタンスまたは EBS ボリュームは、マルウェアスキャン中に除外されました。2 つの可能性があります。タグが対象リストに追加されたが、リソースがこのタグに関連付けられていないか、タグが除外リストに追加され、リソースがそのタグに関連付けられている、または、GuardDutyExcluded タグがそのリソースに対し true に設定されています。	スキャンオプションまたは Amazon EC2 リソースに関連付けられているタグを更新します。詳細については、「ユーザー定義タグ付きのスキャンオプション」を参照してください。
UNSUPPORTED_VOLUME_SIZE	ボリュームが 2048 GB を超えています。	実用的ではありません。
NO_VOLUMES_ATTACHED	GuardDuty Malware Protection for EC2 は、アカウント内のインスタンスを検出しましたが、スキャンを続行するためにこのインスタンスに EBS ボリュームがアタッチされていません。	実用的ではありません。
UNABLE_TO_SCAN	内部サービスエラー。	実用的ではありません。
SNAPSHOT_NOT_FOUND	EBS ボリュームから作成され、サービスアカウントと共有されているスナップショットは見つかりませんでした。EC2 の GuardDuty Malware Protection はスキャンを続行できませんでした。	スナップショットが意図的に削除されていない CloudTrail ことを確認します。
SNAPSHOT_QUOTA_REACHED	各リージョンのスナップショットに許可されている最大ボリュームに達しました。これにより、スナップショットの保持だけでなく、新しいスナップショットの作成もできなくなります。	古いスナップショットを削除するか、クォータの増加をリクエストできます。リージョンごとのスナップショットのデフォルト制限と、クォータの増加をリクエストする方法については、「AWS 全般のリファレンスガイド」の「サービスクォータ」を参照してください。
MAX_NUMBER_OF_ATTACHED_VOLUMES_REACHED	EC2 インスタンスに 11 個を超える EBS ボリュームがアタッチされました。EC2 の GuardDuty マルウェア保護は、アルファベット順にソートして取得した最初の 11 個の EBS deviceName ボリュームをスキャンしました。	実用的ではありません。
UNSUPPORTED_PRODUCT_CODE_TYPE	GuardDuty は、 を productCodeとするインスタンスのスキャンをサポートしていませんmarketplace。詳細については、「Amazon EC2 ユーザーガイドAMIs」を参照してください。 Amazon EC2 productCode の詳細については、「Amazon EC2 API リファレンス」の「ProductCode」を参照してください。	実用的ではありません。