Habilitando a verificação de GuardDuty-initiated malware em ambientes com várias contas

Em um ambiente com várias contas, somente a conta GuardDuty do administrador pode ativar a verificação de GuardDuty-initiated malware em nome de suas contas membros. Além disso, uma conta de administrador que gerencia as contas dos membros com AWS Organizations suporte pode optar por ativar automaticamente a verificação de GuardDuty-initiated malware em todas as contas existentes e novas na organização. Para obter mais informações, consulte Gerenciando GuardDuty contas com AWS Organizations.

Estabelecendo acesso confiável para permitir a verificação de GuardDuty-initiated malware

Se a conta de administrador GuardDuty delegada não for igual à conta de gerenciamento em sua organização, a conta de gerenciamento deverá ativar a verificação de GuardDuty-initiated malware para sua organização. Dessa forma, a conta de administrador delegado pode criar as Service-linked permissões de função para Malware Protection for EC2 contas de membros que são gerenciadas por meio AWS Organizations de.

nota

Antes de designar uma conta de GuardDuty administrador delegada, consulte. Considerações e recomendações

Escolha seu método de acesso preferido para permitir que a conta delegada GuardDuty do administrador habilite a verificação de GuardDuty-initiated malware para contas de membros na organização.

Console

1. Abra o GuardDuty console em https://console.aws.amazon.com/guardduty/.

   Para fazer login, use a conta de gerenciamento AWS Organizations da sua organização.

2. 1. Se você não designou uma conta de GuardDuty administrador delegada, então:

      Na página Configurações, em Conta de GuardDuty administrador delegada, insira os 12 dígitos account ID que você deseja designar para administrar a GuardDuty política em sua organização. Selecione Delegar.

   2. 1. Se você já designou uma conta de GuardDuty administrador delegado que é diferente da conta de gerenciamento, então:

         Na página Configurações, em Administrador delegado, ative a configuração Permissões. Essa ação permitirá que a conta delegada GuardDuty do administrador anexe permissões relevantes às contas dos membros e habilite a verificação de GuardDuty-initiated malware nessas contas dos membros.

      2. Se você já designou uma conta de GuardDuty administrador delegada que é igual à conta de gerenciamento, você pode ativar diretamente a verificação de GuardDuty-initiated malware para as contas dos membros. Para obter mais informações, consulte Auto-enable GuardDuty-initiated verificação de malware para todas as contas dos membros.

      dica

      Se a conta do GuardDuty administrador delegado for diferente da sua conta de gerenciamento, você deverá fornecer permissões à conta do GuardDuty administrador delegado para permitir a verificação de GuardDuty-initiated malware nas contas dos membros.

3. Se você quiser permitir que a conta delegada de GuardDuty administrador habilite a verificação de GuardDuty-initiated malware para contas de membros em outras regiões, altere a sua Região da AWS e repita as etapas acima.

API/CLI

1. Usando as credenciais da conta de gerenciamento, execute o seguinte comando:

   aws organizations enable-aws-service-access --service-principal malware-protection.guardduty.amazonaws.com

2. (Opcional) para ativar a verificação de GuardDuty-initiated malware para a conta de gerenciamento que não seja uma conta de administrador delegada, a conta de gerenciamento primeiro criará a verificação Service-linked permissões de função para Malware Protection for EC2 explicitamente em sua conta e, em seguida, habilitará a verificação de GuardDuty-initiated malware a partir da conta de administrador delegada, semelhante a qualquer outra conta de membro.

   aws iam create-service-linked-role --aws-service-name malware-protection.guardduty.amazonaws.com

3. Você designou a conta de GuardDuty administrador delegado no atualmente selecionado Região da AWS. Se você designou uma conta como conta de GuardDuty administrador delegado em uma região, essa conta deverá ser sua conta de GuardDuty administrador delegado em todas as outras regiões. Repita a etapa acima para todas as outras regiões.

Configurando a verificação de GuardDuty-initiated malware para uma conta de administrador delegada GuardDuty

Escolha seu método de acesso preferido para ativar ou desativar a verificação de GuardDuty-initiated malware para uma conta de GuardDuty administrador delegada.

Console

1. Abra o GuardDuty console em https://console.aws.amazon.com/guardduty/.

2. No painel de navegação, selecione Proteção contra malware para o EC2.

3. Na página Proteção contra malware para EC2, escolha Editar ao lado da verificação de GuardDuty-initiated malware.

4. Execute um destes procedimentos:

   Utilizar Ativar para todas as contas

   • Escolha Habilitar para todas as contas. Isso habilitará o plano de proteção para todas as GuardDuty contas ativas em sua AWS organização, incluindo as novas contas que ingressam na organização.

   • Escolha Salvar.

   Utilizar Configurar contas manualmente

   • Para ativar o plano de proteção somente para a conta de GuardDuty administrador delegada, escolha Configurar contas manualmente.

   • Escolha Ativar na seção Conta de GuardDuty administrador delegada (esta conta).

   • Escolha Salvar.

API/CLI

Execute a operação da API updateDetector usando seu próprio ID de detector regional e transmitindo o name do objeto features como EBS_MALWARE_PROTECTION e status comoENABLED.

Você pode ativar a verificação de GuardDuty-initiated malware executando o seguinte AWS CLI comando. Certifique-se de usar a conta de GuardDuty administrador delegada válidadetector ID.

Para encontrar o da detectorId sua conta e da região atual, consulte a página Configurações no https://console.aws.amazon.com/guardduty/ console ou execute a ListDetectors API.

aws guardduty update-detector --detector-id 12abc34d567e8fa901bc2d34e56789f0 /
              --account-ids 555555555555 /
              --features '[{"Name": "EBS_MALWARE_PROTECTION", "Status": "ENABLED"}]'

Auto-enable GuardDuty-initiated verificação de malware para todas as contas dos membros

Escolha seu método de acesso preferido para ativar o recurso de verificação de GuardDuty-initiated malware para todas as contas dos membros. Isso inclui contas-membro existentes e as novas contas que ingressam na organização.

Console

1. Faça login no Console de gerenciamento da AWS e abra o GuardDuty console em https://console.aws.amazon.com/guardduty/.

   Certifique-se de usar as credenciais da conta de GuardDuty administrador delegada.

2. Execute um destes procedimentos:

   Usar o Proteção contra malware para o EC2 page

   1. No painel de navegação, selecione Proteção contra malware para o EC2.

   2. Na página Proteção contra malware para EC2, escolha Editar na seção de verificação de GuardDuty-initiated malware.

   3. Escolha Habilitar para todas as contas. Essa ação ativa automaticamente a verificação de GuardDuty-initiated malware para contas existentes e novas na organização.

   4. Escolha Salvar.

      nota

      Pode levar até 24 horas para atualizar a configuração das contas-membro.

   Usar o Contas page

   1. No painel de navegação, selecione Contas.

   2. Na página Contas, escolha Auto-enable preferências antes de Adicionar contas por convite.

   3. Na janela Gerenciar preferências de ativação automática, escolha Ativar para todas as contas sob verificação de GuardDuty-initiated malware.

   4. Na página Proteção contra malware para EC2, escolha Editar na seção de verificação de GuardDuty-initiated malware.

   5. Escolha Habilitar para todas as contas. Essa ação ativa automaticamente a verificação de GuardDuty-initiated malware para contas existentes e novas na organização.

   6. Escolha Salvar.

      nota

      Pode levar até 24 horas para atualizar a configuração das contas-membro.

   Usar o Contas page

   1. No painel de navegação, selecione Contas.

   2. Na página Contas, escolha Auto-enable preferências antes de Adicionar contas por convite.

   3. Na janela Gerenciar preferências de ativação automática, escolha Ativar para todas as contas sob verificação de GuardDuty-initiated malware.

   4. Escolha Salvar.

   Se você não conseguir usar a opção Habilitar para todas as contas, consulte Ative seletivamente a verificação de GuardDuty-initiated malware para contas de membros.

API/CLI

• Para ativar seletivamente a verificação de GuardDuty-initiated malware em suas contas membros, invoque a operação da updateMemberDetectors API usando a sua própria. detector ID

• O exemplo a seguir mostra como você pode ativar a verificação de GuardDuty-initiated malware para uma única conta de membro. Para desabilitar uma conta de membro, substitua ENABLED por DISABLED.

  Para encontrar o da detectorId sua conta e da região atual, consulte a página Configurações no https://console.aws.amazon.com/guardduty/ console ou execute a ListDetectors API.

  aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 111122223333 --features '[{"Name": "EBS_MALWARE_PROTECTION", "Status": "ENABLED"}]'

  Também é possível passar uma lista de IDs de conta separados por um espaço.

• Quando o código é executado com êxito, ele retorna uma lista vazia de UnprocessedAccounts. Se houver algum problema na alteração das configurações do detector de uma conta, esse ID de conta será listado junto com um resumo do problema.

Ativar a verificação de GuardDuty-initiated malware para todas as contas de membros ativas existentes

Escolha seu método de acesso preferido para ativar a verificação de GuardDuty-initiated malware em todas as contas de membros ativos existentes na organização.

Para configurar a verificação de GuardDuty-initiated malware para todas as contas de membros ativas existentes

1. Faça login no Console de gerenciamento da AWS e abra o GuardDuty console em https://console.aws.amazon.com/guardduty/.

   Faça login usando as credenciais da conta de GuardDuty administrador delegada.

2. No painel de navegação, selecione Proteção contra malware para o EC2.

3. Na Proteção contra malware para EC2, você pode ver o status atual da configuração do escaneamento de GuardDuty-initiated malware. Na seção Contas-membro ativas, escolha Ações.

4. No menu suspenso Ações, escolha Habilitar para todas as contas-membro ativas existentes.

5. Escolha Salvar.

Auto-enable GuardDuty-initiated verificação de malware para novas contas de membros

As contas de membros recém-adicionadas devem ser ativadas GuardDuty antes de selecionar a configuração da verificação de GuardDuty-initiated malware. As contas dos membros gerenciadas por convite podem configurar manualmente a verificação de GuardDuty-initiated malware para suas contas. Para obter mais informações, consulte Step 3 - Accept an invitation.

Escolha seu método de acesso preferido para ativar a verificação de GuardDuty-initiated malware para novas contas que ingressam na sua organização.

Console

A conta de GuardDuty administrador delegada pode ativar a verificação de GuardDuty-initiated malware para novas contas membros em uma organização, usando a Proteção contra malware para EC2 ou a página Contas.

Para ativar automaticamente a verificação de GuardDuty-initiated malware para novas contas de membros

1. Abra o GuardDuty console em https://console.aws.amazon.com/guardduty/.

   Certifique-se de usar as credenciais da conta de GuardDuty administrador delegada.

2. Execute um destes procedimentos:

   • Página de como usar a Proteção contra malware para o EC2:

     1. No painel de navegação, selecione Proteção contra malware para o EC2.

     2. Na página Proteção contra malware para EC2, escolha Editar na verificação de GuardDuty-initiated malware.

     3. Escolha Configurar contas manualmente.

     4. Selecione Habilitar automaticamente para novas contas-membro. Essa etapa garante que, sempre que uma nova conta ingressar na sua organização, a verificação de GuardDuty-initiated malware seja ativada automaticamente para sua conta. Somente a conta de GuardDuty administrador delegado da organização pode modificar essa configuração.

     5. Escolha Salvar.

   • Como usar a página Contas:

     1. No painel de navegação, selecione Contas.

     2. Na página Contas, escolha Auto-enable preferências.

     3. Na janela Gerenciar preferências de ativação automática, selecione Ativar para novas contas na verificação de GuardDuty-initiated malware.

     4. Escolha Salvar.

API/CLI

• Para ativar ou desativar a verificação de GuardDuty-initiated malware para novas contas de membros, invoque a operação da UpdateOrganizationConfiguration API usando a sua própriadetector ID.

• O exemplo a seguir mostra como você pode ativar a verificação de GuardDuty-initiated malware para uma única conta de membro. Para desabilitá-lo, consulte Ative seletivamente a verificação de GuardDuty-initiated malware para contas de membros. Se não quiser habilitá-lo para todas as novas contas que ingressarem na organização, defina AutoEnable como NONE.

  Para encontrar o da detectorId sua conta e da região atual, consulte a página Configurações no https://console.aws.amazon.com/guardduty/ console ou execute a ListDetectors API.

  aws guardduty update-organization-configuration --detector-id 12abc34d567e8fa901bc2d34e56789f0 --AutoEnable --features '[{"Name": "EBS_MALWARE_PROTECTION", "AutoEnable": NEW}]'

  Também é possível passar uma lista de IDs de conta separados por um espaço.

• Quando o código é executado com êxito, ele retorna uma lista vazia de UnprocessedAccounts. Se houver algum problema na alteração das configurações do detector de uma conta, esse ID de conta será listado junto com um resumo do problema.

Ative seletivamente a verificação de GuardDuty-initiated malware para contas de membros

Escolha seu método de acesso preferido para configurar seletivamente a verificação de GuardDuty-initiated malware para contas de membros.

Console

1. Abra o GuardDuty console em https://console.aws.amazon.com/guardduty/.

2. No painel de navegação, selecione Contas.

3. Na página Contas, revise a coluna de verificação de GuardDuty-initiated malware para ver o status da sua conta de membro.

4. Selecione a conta para a qual você deseja configurar a verificação de GuardDuty-initiated malware. Você pode selecionar várias contas ao mesmo tempo.

5. No menu Editar planos de proteção, escolha a opção apropriada para verificação de GuardDuty-initiated malware.

API/CLI

Para ativar ou desativar seletivamente a verificação de GuardDuty-initiated malware em suas contas membros, invoque a operação da updateMemberDetectors API usando a sua própria. detector ID

O exemplo a seguir mostra como você pode ativar a verificação de GuardDuty-initiated malware para uma única conta de membro.

Para encontrar o da detectorId sua conta e da região atual, consulte a página Configurações no https://console.aws.amazon.com/guardduty/ console ou execute a ListDetectors API.

aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 111122223333 --features '[{"Name": "EBS_MALWARE_PROTECTION", "Status": "ENABLED"}]'

Também é possível passar uma lista de IDs de conta separados por um espaço.

Quando o código é executado com êxito, ele retorna uma lista vazia de UnprocessedAccounts. Se houver algum problema na alteração das configurações do detector de uma conta, esse ID de conta será listado junto com um resumo do problema.

Para ativar seletivamente a verificação de GuardDuty-initiated malware em suas contas de membros, execute a operação da updateMemberDetectors API usando a sua própriadetector ID. O exemplo a seguir mostra como você pode ativar a verificação de GuardDuty-initiated malware para uma única conta de membro.

Para encontrar o da detectorId sua conta e da região atual, consulte a página Configurações no https://console.aws.amazon.com/guardduty/ console ou execute a ListDetectors API.

aws guardduty update-member-detectors --detector-id 12abc34d567e8fa901bc2d34e56789f0 --account-ids 111122223333 --data-sources '{"MalwareProtection":{"ScanEc2InstanceWithFindings":{"EbsVolumes":true}}}'

Também é possível passar uma lista de IDs de conta separados por um espaço.

Quando o código é executado com êxito, ele retorna uma lista vazia de UnprocessedAccounts. Se houver algum problema na alteração das configurações do detector de uma conta, esse ID de conta será listado junto com um resumo do problema.

Habilitar a verificação de GuardDuty-initiated malware para contas existentes na organização gerenciadas por convite

A função vinculada ao serviço (SLR) do GuardDuty Malware Protection for EC2 deve ser criada nas contas dos membros. A conta do administrador não pode ativar o recurso de verificação de GuardDuty-initiated malware em contas de membros que não são gerenciadas pelo AWS Organizations.

Atualmente, você pode executar as seguintes etapas por meio do GuardDuty console em https://console.aws.amazon.com/guardduty/ para ativar a verificação de GuardDuty-initiated malware nas contas de membros existentes.

Console

1. Abra o GuardDuty console em https://console.aws.amazon.com/guardduty/.

   Faça login usando suas credenciais de conta do administrador.

2. No painel de navegação, selecione Contas.

3. Selecione a conta de membro para a qual você deseja ativar a verificação de GuardDuty-initiated malware. Você pode selecionar várias contas ao mesmo tempo.

4. Escolha Ações.

5. Selecione Desassociar membro.

6. Na sua conta-membro, escolha Proteção contra malware em Planos de proteção no painel de navegação.

7. Escolha Ativar verificação de GuardDuty-initiated malware. GuardDuty criará uma SLR para a conta do membro. Para obter mais informações sobre a SLR, consulte Service-linked permissões de função para Malware Protection for EC2.

8. Na sua conta de administrador, selecione Contas no painel de navegação.

9. Escolha a conta-membro que precisa ser adicionada novamente à organização.

10. Escolha Ações e selecione Adicionar membro.

API/CLI

1. Use a conta de administrador para executar a DisassociateMembers API nas contas membros que desejam ativar a verificação de GuardDuty-initiated malware.

2. Use sua conta de membro para invocar e ativar UpdateDetector a verificação de GuardDuty-initiated malware.

   Para encontrar o da detectorId sua conta e da região atual, consulte a página Configurações no https://console.aws.amazon.com/guardduty/ console ou execute a ListDetectors API.

   aws guardduty update-detector --detector-id 12abc34d567e8fa901bc2d34e56789f0 --data-sources '{"MalwareProtection":{"ScanEc2InstanceWithFindings":{"EbsVolumes":true}}}'

3. Use a conta de administrador para executar a API CreateMembers e adicionar o membro de volta à organização.