सेवाओं का यह संयोजन बिना प्रदर्शन प्रभाव के ऑन-प्रिमाइसेस सर्वरों की लगातार निगरानी करने का एक लागत-प्रभावी तरीका प्रदान करता है। यह केंद्रीकृत खतरा एनालिटिक्स के माध्यम से समझौतों की समयरेखा की पहचान करके पुनर्स्थापना के लिए सुरक्षित रिकवरी पॉइंट इन टाइम बैकअप निर्धारित करने में भी मदद करता है।

• AWS Elastic Disaster Recovery (AWS DRS) सस्ती स्टोरेज, न्यूनतम कंप्यूट और पॉइंट-इन-टाइम रिकवरी का उपयोग करके ऑन-प्रिमाइसेस और क्लाउड-आधारित एप्लिकेशन के तेज़ और विश्वसनीय रिकवरी के साथ डाउनटाइम और डेटा हानि को कम करता है।

• Amazon GuardDuty एक खतरा पहचान सेवा है जो लगातार आपके AWS खातों और वर्कलोड की दुर्भावनापूर्ण गतिविधि के लिए निगरानी करती है और दृश्यता और उपचार के लिए विस्तृत सुरक्षा निष्कर्ष प्रदान करती है।

• AWS Security Hub एक क्लाउड सुरक्षा आसन प्रबंधन (CSPM) सेवा है जो सुरक्षा सर्वोत्तम अभ्यास जांच करती है, अलर्ट एकत्रित करती है और स्वचालित उपचार सक्षम करती है।

आर्किटेक्चर

समाधान विवरण

मैलवेयर स्कैन समाधान मानता है कि ऑन-प्रिमाइसेस सर्वर पहले से AWS DRS के साथ प्रतिकृति कर रहे हैं, और Amazon GuardDuty और AWS Security Hub सक्षम हैं। इस रिपॉजिटरी में cdk स्टैक केवल आर्किटेक्चर आरेख में DRS Malware Scan के रूप में लेबल किए गए बक्सों को तैनात करेगा।

1. AWS DRS ऑन-प्रिमाइसेस वातावरण से AWS (या किसी अन्य क्लाउड प्रदाता से) स्रोत सर्वरों की प्रतिकृति कर रहा है। AWS DRS सेट अप करने के बारे में अधिक जानकारी के लिए कृपया त्वरित शुरुआत गाइड का पालन करें।
2. Amazon GuardDuty पहले से सक्षम है।
3. AWS Security Hub पहले से सक्षम है।
4. मैलवेयर स्कैन समाधान Amazon EventBridge में एक शेड्यूल रूल (उपसर्ग DrsMalwareScanStack-ScheduleScanRule के साथ) द्वारा ट्रिगर होता है। आप आवश्यकतानुसार स्कैन आवृत्ति समायोजित कर सकते हैं (जैसे दिन में एक बार, सप्ताह में एक बार, आदि)।
5. Amazon EventBridge में शेड्यूल रूल Submit Orders lambda फ़ंक्शन (उपसर्ग DrsMalwareScanStack-SubmitOrders के साथ) को ट्रिगर करता है जो Source Servers DynamoDB तालिका से स्कैन करने के लिए स्रोत सर्वरों को एकत्रित करता है।
6. ऑर्डर Scan Orders (उपसर्ग DrsMalwareScanStack-ScanOrdersfifo के साथ) नामक SQS FIFO क्यू पर रखे जाते हैं। क्यू का उपयोग उसी DRS इंस्टेंस पर मैप किए गए स्कैन अनुरोधों को क्रमबद्ध करने के लिए किया जाता है, जिससे रेस कंडीशन को रोका जा सके।
7. Process Order lambda क्यू से एक मैलवेयर स्कैन ऑर्डर चुनता है और आगामी मैलवेयर स्कैन ऑपरेशन तैयार करने के लिए इसे समृद्ध करता है। उदाहरण के लिए, यह ऑर्डर में प्रदान किए गए DRS स्रोत सर्वर से जुड़े प्रतिकृति DRS इंस्टेंस की आईडी सम्मिलित करता है। Process Order का आउटपुट मैलवेयर स्कैन कमांड होते हैं जिनमें GuardDuty मैलवेयर स्कैन को लागू करने के लिए सभी आवश्यक जानकारी होती है।
8. मैलवेयर स्कैन ऑपरेशन को वॉल्यूम स्तर पर DRSVolumeAnnotationsDDBTable का उपयोग करके ट्रैक किया जाता है, जो रिपोर्टिंग क्षमताएं प्रदान करता है।
9. मैलवेयर स्कैन कमांड को लचीलापन बढ़ाने के लिए Scan Commands SQS FIFO क्यू (उपसर्ग DrsMalwareScanStack-ScanCommandsfifo के साथ) में डाला जाता है।
10. Process Commands फ़ंक्शन API थ्रॉटलिंग से बचने के लिए अधिकतम 1 कमांड प्रति सेकंड की दर से क्यू किए गए स्कैन कमांड को सबमिट करता है। यह Amazon GuardDuty द्वारा प्रदान किए गए ऑन-डिमांड मैलवेयर स्कैन फ़ंक्शन को ट्रिगर करता है।
11. ऑन-डिमांड Amazon GuardDuty मैलवेयर जॉब के निष्पादन की निगरानी Amazon GuardDuty सेवा से की जा सकती है।
12. मैलवेयर स्कैन जॉब का परिणाम Amazon CloudWatch Logs पर रूट किया जाता है।
13. Subscription Filter lambda फ़ंक्शन स्कैन का परिणाम प्राप्त करता है और DynamoDB (चरण #14) का उपयोग करके परिणाम को ट्रैक करता है।
14. DRS Instance Annotations DynamoDB तालिका इंस्टेंस स्तर पर मैलवेयर स्कैन जॉब की स्थिति को ट्रैक करती है।
15. ScanReportStack नामक CDK स्टैक Scan Report lambda फ़ंक्शन (उपसर्ग ScanReportStack-ScanReport के साथ) को तैनात करता है ताकि Amazon S3 बकेट (उपसर्ग scanreportstack-scanreportbucket के साथ) को पॉप्युलेट किया जा सके।
16. AWS Security Hub Amazon GuardDuty से निष्कर्षों को एकत्रित और सहसंबंधित करता है।
17. Security Hub निष्कर्ष ईवेंट को EventBridge Rule (उपसर्ग DrsMalwareScanStack-SecurityHubAnnotationsRule के साथ) द्वारा कैप्चर किया जाता है।
18. Security Hub Annotations lambda फ़ंक्शन (उपसर्ग DrsMalwareScanStack-SecurityHubAnnotation के साथ) प्रभावित स्रोत सर्वर के बारे में प्रासंगिक जानकारी के साथ निष्कर्ष में अतिरिक्त नोट्स (एनोटेशन) उत्पन्न करता है। यह अतिरिक्त जानकारी Security Hub निष्कर्ष के Notes अनुभाग में देखी जा सकती है।
19. अनुवर्ती गतिविधियाँ अपनाई जा रही घटना प्रतिक्रिया प्रक्रिया पर निर्भर करेंगी। उदाहरण के लिए, संक्रमण की तारीख के आधार पर, AWS DRS का उपयोग मैलवेयर संक्रमण की तारीख से पहले के स्नैपशॉट का उपयोग करके पॉइंट इन टाइम रिकवरी करने के लिए किया जा सकता है।
20. मल्टी-अकाउंट परिदृश्य में, इस समाधान को सीधे AWS DRS समाधान होस्ट करने वाले AWS खाते पर तैनात किया जा सकता है। Amazon GuardDuty निष्कर्ष स्वचालित रूप से केंद्रीकृत सुरक्षा खाते में भेजे जाएंगे।

उपयोग

पूर्व-आवश्यकताएँ

• एक AWS खाता।

• Amazon Elastic Disaster Recovery (DRS) कॉन्फ़िगर किया गया हो, कम से कम 1 सर्वर स्रोत सिंक में हो। यदि नहीं, तो कृपया यह दस्तावेज़ीकरण देखें। प्रतिकृति कॉन्फ़िगरेशन में AWS Key Management Service (AWS KMS) से कस्टम मैनेज्ड की (CMK) का उपयोग करके EBS एन्क्रिप्शन का ध्यान रखना चाहिए। Amazon GuardDuty Malware Protection EBS के लिए डिफ़ॉल्ट AWS मैनेज्ड की का समर्थन नहीं करता है।

• इस समाधान के घटकों को तैनात करने के लिए IAM विशेषाधिकार।

• Amazon GuardDuty सक्षम हो। यदि नहीं, तो कृपया यह दस्तावेज़ीकरण देखें।

• Amazon Security Hub सक्षम हो। यदि नहीं, तो कृपया यह दस्तावेज़ीकरण देखें।

  चेतावनी
  वर्तमान में, Amazon GuardDuty Malware स्कैन EBS-प्रबंधित कुंजियों से एन्क्रिप्टेड EBS वॉल्यूम का समर्थन नहीं करता है। यदि आप इस समाधान का उपयोग DRS के साथ प्रतिकृति किए गए अपने ऑन-प्रिम (या अन्य-क्लाउड) सर्वरों को स्कैन करने के लिए करना चाहते हैं, तो आपको KMS में अपनी एन्क्रिप्शन कुंजी के साथ DRS प्रतिकृति सेट अप करनी होगी। यदि आप वर्तमान में अपने प्रतिकृति सर्वरों के साथ EBS-प्रबंधित कुंजियों का उपयोग कर रहे हैं, तो आप DRS कंसोल में अपनी खुद की KMS कुंजी का उपयोग करने के लिए एन्क्रिप्शन सेटिंग्स बदल सकते हैं।

तैनाती

1. अपने AWS खाते में Ubuntu इमेज (बेहतर प्रदर्शन के लिए कम से कम t3.small) के साथ Cloud9 वातावरण बनाएं। अपना Cloud9 वातावरण खोलें और इस रिपॉजिटरी में कोड को क्लोन करें। नोट: Amazon Linux 2 में node v16 है जो 2023-09-11 से समर्थित नहीं है।

   root@kitploit:~

   git clone https://github.com/aws-samples/drs-malware-scan
   

   root@kitploit:~

   cd drs-malware-scan
   

   root@kitploit:~

   sh check_loggroup.sh
   

2. CDK स्टैक तैनात करें Cloud9 टर्मिनल में निम्नलिखित कमांड चलाएँ और तैनाती की पुष्टि करें

   root@kitploit:~

   npm install
   

   root@kitploit:~

   cdk bootstrap
   

   root@kitploit:~

   cdk deploy --all
   

   नोट
   समाधान 2 स्टैक से बना है:

   • DrsMalwareScanStack: यह मैलवेयर स्कैनिंग सुविधा के लिए आवश्यक सभी संसाधन तैनात करता है। यह स्टैक अनिवार्य है। यदि आप केवल इस स्टैक को तैनात करना चाहते हैं, तो cdk deploy DrsMalwareScanStack चला सकते हैं
   • ScanReportStack: यह रिपोर्टिंग के लिए आवश्यक संसाधन (Amazon Lambda और Amazon S3) तैनात करता है। यह स्टैक वैकल्पिक है। यदि आप केवल इस स्टैक को तैनात करना चाहते हैं, तो cdk deploy ScanReportStack चला सकते हैं

   यदि आप दोनों स्टैक तैनात करना चाहते हैं, तो cdk deploy --all चला सकते हैं

कॉन्फ़िगरेशन

1. सुनिश्चित करें कि DRS स्रोत सर्वर लगातार प्रतिकृति कर रहे हैं और स्वस्थ प्रतिकृति स्थिति में हैं। यह GuardDuty API में एक सीमा के कारण आवश्यक है: इस लेखन के समय, DRS स्नैपशॉट को स्कैन करने के लिए कोई सार्वजनिक AWS API नहीं है। DRS स्रोत सर्वर डेटा पर मैलवेयर स्कैन करने का एकमात्र तरीका AWS DRS द्वारा प्रबंधित प्रतिकृति सर्वर (Amazon EC2 इंस्टेंस) पर स्कैन करना है। यदि प्रतिकृति स्वस्थ स्थिति में नहीं चल रही है, तो आपका DRS मैलवेयर स्कैन सफलतापूर्वक पूरा नहीं हो सकता है। आपको ReadyforRecovery=Ready की पुष्टि करनी होगी

2. स्कैन करने के लिए स्रोत सर्वरों की पहचान करें। AWS DRS के साथ प्रतिकृति किए जा रहे सभी सर्वरों में से, आपको स्कैन करने के लिए उम्मीदवार सर्वरों की सूची निर्धारित करनी होगी। AWS DRS कंसोल से, उन स्रोत सर्वरों के नाम कॉपी करें जिन्हें आप समाधान से स्कैन करवाना चाहते हैं और इसे टेक्स्ट एडिटर में पेस्ट करें। इसका उपयोग अगले चरण में किया जाएगा।

3. DynamoDB तालिका अपडेट करें। स्कैन किए जाने वाले सर्वरों की सूची cdk स्टैक द्वारा बनाई गई DynamoDB तालिका (उपसर्ग DrsMalwareScanStack-SourceServersDDBTable के साथ) में संग्रहीत है। आपको AWS DRS द्वारा प्रतिकृति किए जा रहे प्रत्येक स्रोत सर्वर के लिए DynamoDB आइटम बनाने होंगे। ऐसा करने के लिए, कृपया Amazon DynamoDB सेवा में जाएँ और इन चरणों का पालन करें:

4. मैलवेयर स्कैन जॉब शेड्यूल करें। आप Amazon EventBridge सेवा में जा सकते हैं और स्टैक द्वारा बनाए गए मौजूदा नियम को संशोधित कर सकते हैं। उपसर्ग DrsMalwareScanStack-ScheduleScanRule वाले नियम को संपादित करें, मैलवेयर स्कैन विश्लेषण की स्कैनिंग आवृत्ति सेट करें। साथ ही यह नियम डिफ़ॉल्ट रूप से DISABLED है, कृपया इसे ENABLE करें।

5. जांचें कि Amazon GuardDuty ने मैलवेयर स्कैन ऑपरेशन ट्रिगर किया यह पुष्टि करने के लिए कि समाधान अपेक्षित रूप से काम कर रहा है, आप Amazon GuardDuty -> Malware scans कंसोल में जांच सकते हैं। शेड्यूलिंग समय के कुछ सेकंड बाद, आपको ScanStatus = Running के साथ एक जॉब दिखाई देनी चाहिए। यदि नहीं, तो कृपया नीचे समस्या निवारण अनुभाग देखें।

6. ऑन-प्रिम सर्वरों पर संभावित मैलवेयर निष्कर्षों के लिए AWS SecurityHub जांचें Amazon GuardDuty का Security Hub के साथ एकीकरण आपको GuardDuty से Security Hub में निष्कर्ष भेजने में सक्षम बनाता है।
   • Security Hub केवल निष्कर्ष दिखाता है, इसलिए ScanResult=Clean वाले मैलवेयर स्कैन जॉब Security Hub कंसोल में प्रदर्शित नहीं होंगे (केवल ScanResult=Infected वाले)।
   • AWS Security Hub कंसोल के अंदर, आप Findings पर जा सकते हैं और ProductName=GuardDuty द्वारा फ़िल्टर लागू कर सकते हैं (जैसा कि नीचे एनिमेशन में दिखाया गया है)।
   • समाधान संक्रमित ऑन-प्रिम सर्वरों के नाम को उजागर करते हुए, निष्कर्ष के Notes अनुभाग में एनोटेशन जोड़ता है।
   • Security Hub आसानी से प्रतिक्रिया और उपचार गतिविधियों को स्वचालित करने के लिए Amazon EventBridge के साथ एकीकृत है, जैसे किसी SOC को ईमेल भेजना, किसी स्लैक चैनल में घटना की रिपोर्ट करना, आदि। अधिक जानकारी के लिए आप इस लिंक की जांच कर सकते हैं।

7. वैकल्पिक: S3 पर मैलवेयर स्कैन रिपोर्ट फ़ाइल जांचें यदि आपने ScanReportStack स्टैक तैनात किया है, तो आप अपनी आवश्यकताओं के अनुसार जितनी बार चाहें रिपोर्ट चलाने के लिए शेड्यूल कर सकते हैं। रिपोर्ट DRSVolumeAnnotationsDDBTable DynamoDB तालिका की सामग्री निकालेगी और इसे स्टैक द्वारा बनाए गए Amazon S3 बकेट (उपसर्ग scanreportstack-scanreportbucket के साथ) में लिखेगी। यह रिपोर्ट हर बार नियम ट्रिगर होने पर अधिलेखित (और संचयी) होती है।

   • Amazon EventBridge नियम सक्षम करें और रिपोर्ट चलाने के लिए शेड्यूल सेट करें: उपसर्ग ScanReportStack-ScanReportRule वाले नियम को संपादित करें, मैलवेयर स्कैन विश्लेषण की स्कैनिंग आवृत्ति और विश्लेषण करने के लिए DRS स्रोत सर्वरों की सूची सेट करें। साथ ही यह नियम डिफ़ॉल्ट रूप से अक्षम है, कृपया इसे सक्षम करें।

          

   • रिपोर्ट जांचने के लिए, आप Amazon S3 बकेट (उपसर्ग scanreportstack-scanreportbucket के साथ) पर csv फ़ाइल क्वेरी कर सकते हैं।

          

8. वैकल्पिक: मल्टीअकाउंट कॉन्फ़िगरेशन के लिए यदि आपके पास मल्टीअकाउंट रणनीति के हिस्से के रूप में सभी सुरक्षा निष्कर्षों को केंद्रीकृत करने के लिए एक नामित सुरक्षा खाता है, तो यह समाधान भी काम करेगा। सुरक्षा टीम सुरक्षा खाते पर समान विश्लेषण कर सकती है, लिंक किए गए खातों में रिपोर्ट किए गए Security Hub और GuardDuty निष्कर्ष स्वचालित रूप से केंद्रीकृत सुरक्षा खाते में कॉपी हो जाते हैं।

समस्या निवारण

सभी lambda फ़ंक्शन लॉग को Amazon CloudWatch पर रूट करते हैं। आप प्रत्येक फ़ंक्शन के लिए उपयुक्त CloudWatch लॉग समूहों का निरीक्षण करके प्रत्येक फ़ंक्शन के निष्पादन को सत्यापित कर सकते हैं, /aws/lambda/DrsMalwareScanStack-* पैटर्न देखें।

मैलवेयर स्कैन ऑपरेशन की अवधि स्कैन किए जाने वाले सर्वरों/वॉल्यूमों की संख्या (और उनके आकार) पर निर्भर करेगी। जब Amazon GuardDuty मैलवेयर ढूंढता है, तो यह एक SecurityHub निष्कर्ष उत्पन्न करता है: समाधान इस ईवेंट को इंटरसेप्ट करता है और मैलवेयर वाले DRS स्रोत सर्वरों के नाम वाले नोट के साथ SecurityHub निष्कर्ष को बढ़ाने के लिए $StackName-SecurityHubAnnotations lambda चलाता है।

SQS FIFO क्यू की निगरानी AWS SQS कंसोल से Messages available और Message in flight मीट्रिक का उपयोग करके की जा सकती है।

DRS Volume Annotations DynamoDB तालिका प्रत्येक मैलवेयर स्कैन ऑपरेशन की स्थिति का ट्रैक रखती है।

Amazon GuardDuty के पास स्कैन ऑपरेशन को छोड़ने के दस्तावेजी कारण हैं। अधिक जानकारी के लिए कृपया मैलवेयर स्कैन के दौरान संसाधन को छोड़ने के कारण देखें।

Amazon GuardDuty मैलवेयर स्कैन ऑपरेशन से लॉग का विश्लेषण करने के लिए, आप /aws/guardduty/malware-scan-events Amazon CloudWatch लॉगग्रुप की जांच कर सकते हैं। इस लॉग समूह के लिए डिफ़ॉल्ट लॉग अवधारण अवधि 90 दिन है, जिसके बाद लॉग ईवेंट स्वचालित रूप से हटा दिए जाते हैं।

सफाई

1. अपने टर्मिनल में निम्नलिखित कमांड चलाएँ:

   root@kitploit:~

   cdk destroy --all
   

2. (वैकल्पिक) Lambda फ़ंक्शन से जुड़े CloudWatch लॉग समूह हटाएँ।

AWS लागत अनुमान विश्लेषण

इस विश्लेषण के प्रयोजन के लिए, हमने एक काल्पनिक परिदृश्य मान लिया है। निम्नलिखित लागत अनुमान उत्तरी वर्जीनिया (us-east-1) क्षेत्र में स्थित सेवाओं पर आधारित हैं।

अनुमानित परिदृश्य:

• प्रतिकृति (DR) के लिए 2 स्रोत सर्वर (कुल भंडारण: 100GB - 4 डिस्क)
• प्रति माह 3 TB मैलवेयर स्कैन
• EBS स्नैपशॉट अवधारण अवधि के 30 दिन
• दैनिक मैलवेयर स्कैन

सेवा विवरण:

नोट यहां प्रस्तुत आंकड़े ऊपर वर्णित मान्यताओं पर आधारित अनुमान हैं, जो AWS Pricing Calculator से प्राप्त किए गए हैं। अधिक जानकारी के लिए कृपया इस मूल्य निर्धारण कैलकुलेटर को एक संदर्भ के रूप में देखें। आप अपना स्वयं का अनुमान लगाने के लिए संदर्भित कैलकुलेटर में सेवा कॉन्फ़िगरेशन समायोजित कर सकते हैं। यह अनुमान संभावित करों या अतिरिक्त शुल्कों को शामिल नहीं करता है जो लागू हो सकते हैं। यह याद रखना महत्वपूर्ण है कि वास्तविक शुल्क उपयोग और इस विश्लेषण में शामिल नहीं की गई किसी भी अतिरिक्त सेवा के आधार पर भिन्न हो सकते हैं। महत्वपूर्ण वातावरणों के लिए बिज़नेस सपोर्ट प्लान (अनुमान में नहीं माना गया) शामिल करने की सलाह दी जाती है।

सुरक्षा

अधिक जानकारी के लिए CONTRIBUTING देखें।

लेखक

• Rodrigo Monge
• Thierry Francois
• Diego Pérez Holguín
• Leandro Santi

लाइसेंस

यह नमूना कोड MIT-0 लाइसेंस के तहत लाइसेंसीकृत है। LICENSE फ़ाइल देखें।