As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Cobertura para EC2 instância da Amazon
Para um EC2 recurso da Amazon, a cobertura do tempo de execução é avaliada no nível da instância. Suas EC2 instâncias da Amazon podem executar vários tipos de aplicativos e cargas de trabalho, entre outros, em seu AWS meio ambiente. Esse recurso também oferece suporte a EC2 instâncias da Amazon ECS gerenciadas pela Amazon e, se você tiver ECS clusters da Amazon em execução em uma EC2 instância da Amazon, os problemas de cobertura no nível da instância aparecerão na cobertura de EC2 tempo de execução da Amazon.
Tópicos
Análise de estatísticas de cobertura
As estatísticas de cobertura das EC2 instâncias da Amazon associadas às suas próprias contas ou contas membros são a porcentagem das EC2 instâncias saudáveis em todas as EC2 instâncias selecionadas. Região da AWS. A equação a seguir representa isso como:
(Instâncias ínteis/todas as instâncias) *100
Se você também implantou o agente de GuardDuty segurança para seus ECS clusters da Amazon, qualquer problema de cobertura no nível da instância associado aos ECS clusters da Amazon em execução em uma EC2 instância da Amazon aparecerá como um problema de cobertura de tempo de execução da EC2 instância da Amazon.
Selecione um dos métodos de acesso para revisar as estatísticas de cobertura de suas contas.
Se o status da cobertura da sua EC2 instância for Insalubre, consulteSolução de problemas de cobertura.
Configuração de notificações de alteração do status de cobertura
O status da cobertura da sua EC2 instância Amazon pode aparecer como Insalubre. Para saber quando o status da cobertura muda, recomendamos que você monitore o status da cobertura periodicamente e solucione problemas se o status ficar insalubre. Como alternativa, você pode criar uma EventBridge regra da Amazon para receber uma notificação quando o status da cobertura mudar de Insalubre para Saudável ou não. Por padrão, GuardDuty publica isso no EventBridge barramento da sua conta.
Exemplo de esquema de notificação
Em uma EventBridge regra, você pode usar os exemplos de eventos e padrões de eventos predefinidos para receber a notificação do status da cobertura. Para obter mais informações sobre a criação de uma EventBridge regra, consulte Criar regra no Guia EventBridge do usuário da Amazon.
Além disso, você pode criar um padrão de evento personalizado usando o exemplo de esquema de notificação a seguir. Substitua os valores da sua conta. Para ser notificado quando o status da cobertura da sua EC2 instância Amazon mudar de Healthy paraUnhealthy, o detail-type deve ser GuardDuty Runtime
Protection Unhealthy. Para ser notificado quando o status da cobertura mudar de Unhealthy paraHealthy, substitua o valor de detail-type por GuardDuty Runtime Protection Healthy.
{ "version": "0", "id": "event ID", "detail-type": "GuardDuty Runtime Protection Unhealthy", "source": "aws.guardduty", "account": "Conta da AWS ID", "time": "event timestamp (string)", "region": "Região da AWS", "resources": [ ], "detail": { "schemaVersion": "1.0", "resourceAccountId": "string", "currentStatus": "string", "previousStatus": "string", "resourceDetails": { "resourceType": "EC2", "ec2InstanceDetails": { "instanceId":"", "instanceType":"", "clusterArn": "", "agentDetails": { "version":"" }, "managementType":"" } }, "issue": "string", "lastUpdatedAt": "timestamp" } }
Solução de problemas de cobertura
Se o status da cobertura da sua EC2 instância Amazon for Insalubre, você poderá ver o motivo na coluna Problema.
Se sua EC2 instância estiver associada a um EKS cluster e o agente de segurança tiver EKS sido instalado manualmente ou por meio da configuração automática do agente, para solucionar o problema de cobertura, consulteCobertura para EKS clusters da Amazon.
A tabela a seguir lista os tipos de problemas e as etapas de solução de problemas correspondentes.
| Tipo de problema | Mensagem de emissão | Etapas de solução de problemas |
|---|---|---|
|
Sem relatórios de agentes |
Aguardando SSM notificação |
O recebimento da SSM notificação pode levar alguns minutos. Certifique-se de que a EC2 instância da Amazon seja SSM gerenciada. Para obter mais informações, consulte as etapas em Método 1 - Usando AWS Systems Manager emInstalando o agente de segurança manualmente. |
|
(Vazio de propósito) |
Se você estiver gerenciando o agente de GuardDuty segurança manualmente, certifique-se de seguir as etapas abaixoGerenciando o agente de segurança manualmente para a EC2 instância da Amazon. |
|
|
Se você ativou a configuração automatizada do agente:
|
||
|
Valide se o VPC endpoint da sua EC2 instância Amazon está configurado corretamente. Para obter mais informações, consulte Como faço para validar se a configuração do VPC endpoint está correta?. |
||
|
Se sua organização tiver uma política de controle de serviços (SCP), confirme se o limite de permissões não está restringindo a permissão. |
||
|
Agente desconectado |
|
|
|
SSMFalha na criação da associação |
GuardDuty SSMa associação já existe na sua conta |
|
|
Sua conta tem muitas SSM associações |
Escolha uma das duas opções a seguir:
|
|
|
SSMFalha na atualização da associação |
GuardDuty SSMassociação não existe na sua conta |
GuardDuty SSMa associação não está presente em sua conta. Desative e reative o Runtime Monitoring. |
|
SSMFalha na exclusão da associação |
GuardDuty SSMassociação não existe na sua conta |
A SSM associação não está presente na sua conta. Se a SSM associação foi excluída intencionalmente, nenhuma ação será necessária. |
|
SSMFalha na execução da associação de instâncias |
Os requisitos arquitetônicos ou outros pré-requisitos não são atendidos. |
Para obter informações sobre distribuições verificadas do sistema operacional, consultePré-requisitos para suporte a instâncias da Amazon EC2. Se você ainda tiver esse problema, as etapas a seguir ajudarão você a identificar e potencialmente resolver o problema:
|
|
VPCFalha na criação do endpoint |
VPCcriação de endpoint não suportada para compartilhamento VPC |
O Runtime Monitoring suporta o uso de um compartilhamento VPC dentro de uma organização. Para obter mais informações, consulte Uso compartilhado VPC com agentes de segurança automatizados. |
|
Somente ao usar a configuração compartilhada VPC com agente automatizado ID da conta do proprietário |
A conta compartilhada do VPC proprietário deve habilitar o Runtime Monitoring e a configuração automática do agente para pelo menos um tipo de recurso (Amazon EKS ou Amazon ECS (AWS Fargate)). Para obter mais informações, consultePré-requisitos específicos para o monitoramento de tempo de execução GuardDuty. | |
Habilitar o privado DNS requer ambos |
Certifique-se de que os VPC atributos a seguir estejam definidos como Se você estiver usando o Amazon VPC Console em https://console.aws.amazon.com/vpc/ |
|
Falha na exclusão VPC do endpoint compartilhado |
A exclusão compartilhada VPC do endpoint não é permitida para o ID da conta |
Etapas potenciais:
|
|
Agente que não está reportando |
(Vazio de propósito) |
O tipo de problema chegou ao fim do suporte. Se você continuar enfrentando esse problema e ainda não o fez, habilite o agente GuardDuty automatizado para a AmazonEC2. Se o problema persistir, considere desativar o Runtime Monitoring por alguns minutos e depois habilitá-lo novamente. |
