Warum scannt Amazon Inspector meine Amazon-EC2-Instances nicht?

Kurzbeschreibung

Wenn du eine der folgenden Statusmeldungen erhältst, hat Amazon Inspector deine Amazon-EC2-Instance nicht gescannt: „EC2 instance stopped“, „Unmanaged EC2 instance“, „Unsupported OS“, „Internal error“, „Pending initial scan“ oder „No inventory“.

Amazon Inspector scannt die EC2-Instances möglicherweise aus den folgenden Gründen nicht:

• AWS-Systems-Manager-Agent (SSM-Agent) ist nicht auf dem neuesten Stand.
• Die EC2-Instance befindet sich nicht im Status Wird ausgeführt.
• Das Betriebssystem ist nicht kompatibel.
• Die Instance ist nicht mit AWS Systems Manager verbunden.
• Amazon Inspector ist nicht mit Systems Manager verknüpft.

Du kannst das Amazon-Inspector-Dashboard verwenden, um den Status deiner Instances zu überwachen. Weitere Informationen findest du unter Scannen von Amazon-EC2-Instances mit Amazon Inspector.

Voraussetzung: Stelle sicher, dass die Ziel-Instance eine verwaltete Instance ist. Weitere Informationen findest du unter Arbeiten mit verwalteten Knoten.

Lösung

Hinweis: Wenn du beim Ausführen von AWS Command Line Interface (AWS CLI)-Befehlen Fehlermeldungen erhältst, findest du weitere Informationen dazu unter Problembehandlung bei der AWS CLI. Stelle außerdem sicher, dass du die neueste Version der AWS CLI verwendest.

Aktualisieren der SSM-Agent-Version

Um Instances zu scannen, muss SSM Agent auf Amazon Inspector ausgeführt werden. Wenn du eine frühere Version von SSM Agent hast, aktualisiere es auf die neueste Version. Weitere Informationen zum Update auf die neueste Version findest du unter Releases · aws/amazon-ssm-agent (Versionen – aws/amazon-ssm-agent) auf der GitHub-Website. Es ist auch eine bewährte Methode, Systems Manager so zu konfigurieren, dass SSM Agent automatisch aktualisiert wird.

Abonniere die SSM-Agent-Benachrichtigungen, um SSM Agent manuell zu aktualisieren. Verwende dann den Befehl „Run“ (Ausführen), um SSM Agent zu aktualisieren. Du kannst die Versionshinweise zu SSM Agent auch auf der GitHub-Website abonnieren.

Sich vergewissern, dass sich die Instance im Status „Wird ausgeführt“ befindet

Wenn sich die Instance im Status EC2 instance stopped (EC2-Instance angehalten) befindet, wurde die Instance angehalten und Amazon Inspector hat den Scan unterbrochen. Um den Scan erneut zu starten, starte die EC2-Instance.

Amazon Inspector behält frühere Scan-Ergebnisse bei, wenn die EC2-Instance angehalten wird. Amazon Inspector scannt Intervalle, die du in Systems-Manager-Zuordnungen angibst. Du kannst die Scan-Intervalle für Linux-Instances und Windows-Instances ändern.

Prüfen, ob Amazon Inspector das Betriebssystem unterstützt

Wenn sich die Instance im Status Nicht unterstütztes Betriebssystem befindet, unterstützt Amazon Inspector das von der Instance verwendete Betriebssystem nicht.

Führe den folgenden Befehl aus, um die Linux-Version zu ermitteln:

cat /etc/os-releaselsb_release -ahostnamectl

Suche bei Windows nach Systeminformationen und öffne dann die Anwendung. Überprüfe anschließend die Liste der unterstützten Betriebssysteme, um Instances zu scannen und so festzustellen, ob Amazon Inspector das Betriebssystem unterstützt.

Sich vergewissern, dass du die Instance mit Systems Manager verbunden hast

Wenn die Instance nicht auf der Systems-Manager-Konsole angezeigt wird, führe das Runbook AWSSupport-TroubleshootManagedInstance aus, um Systems-Manager-Konfigurationsprobleme automatisch zu identifizieren. Weitere Informationen findest du unter Warum zeigt Systems Manager meine Amazon-EC2-Instance nicht als verwaltete Instance an?

Gehe wie folgt vor, um die Verbindung der Instance zu Systems Manager manuell zu überprüfen:

1. Öffne die Systems-Manager-Konsole in derselben AWS-Region wie Amazon Inspector und die Instance.
2. Wähle Flottenmanager.
3. Überprüfe unter Verwaltete Knoten den Ping-Status von SSM Agent.
   Wenn der Status Online lautet, ist die Instance mit SSM Agent verbunden.
   Wenn der Ping-Status von SSM Agent Verbindung getrennt lautet, stelle sicher, dass die Instance die Systems-Manager-Voraussetzungen erfüllt. Führe das folgende ssm-cli get-diagnostics aus, um das Problem zu ermitteln und es zu beheben:

   ssm-cli.exe get-diagnostics --output table

Sicherstellen, dass du Amazon Inspector mit Systems Manager verknüpft hast

Um den Bestand von Software-Anwendungen zu erfassen, benötigt Amazon Inspector eine Verbindung zu State Manager, einer Funktion von Systems Manager, in deinem AWS-Konto. Wenn du den Status Kein Bestand erhältst, hat Amazon Inspector den Software-Anwendungsbestand zum Scannen der Instance nicht gefunden.

Gehe wie folgt vor, um zu überprüfen, ob du Amazon Inspector und State Manager verknüpft hast:

1. Öffne die Systems-Manager-Konsole in derselben Region wie Amazon Inspector und deine Instance.
2. Wähle State Manager.
3. Stelle unter Zuordnungen sicher, dass die Zuordnung InspectorInventoryCollection-do-not-delete vorhanden ist und der Status Erfolgreich lautet.
4. Wenn die Zuordnung InspectorInventoryCollection-do-not-delete nicht vorhanden ist, führe das SSM-Dokument AWS-GatherSoftwareInventory auf allen Instances aus. Wähle die Zuordnungs-ID für die Instance, die nicht gescannt wurde, und wähle dann die Registerkarte Ausführungsverlauf, um weitere Informationen zu erhalten.
5. Wenn der Status der Zuordnung InspectorInventoryCollection-do-not-delete Fehlgeschlagen lautet, wähle die Zuordnungs-ID aus. Wähle dann Zuordnung jetzt anwenden aus. Überprüfe den Status der Zuordnung InspectorInventoryCollection-do-not-delete, um dich zu vergewissern, dass er von Fehlgeschlagen in Erfolgreich geändert wurde.

Das Amazon-Inspector-SSM-Plug-in für Windows wird automatisch auf den Windows-Instances installiert. Wenn du das EC2-Scannen aktivierst, erstellt Amazon Inspector neue SSM-Zuordnungen für die Windows-Ressourcen.

Zu den SSM-Zuordnungen gehören InspectorDistributor-do-not-delete, InspectorInventoryCollection-do-not-delete und InvokeInspectorSsmPlugin-do-not-delete. Wenn der Status für die Zuordnungen Fehlgeschlagen lautet, wende die Zuordnung erneut an.

Wenn die Datei InspectorSsmPlugin.exe nicht vorhanden ist, installiert die SSM-Zuordnung InspectorDistributor-do-not-delete das Plug-in beim nächsten Windows-Scan automatisch neu. Weitere Informationen findest du unter Scannen von Amazon-EC2-Instances mit Amazon Inspector.

Überprüfen, ob der Knoten in der Software-Anwendung vorhanden ist

Gehe wie folgt vor:

1. Öffne die Systems-Manager-Konsole in derselben Region wie Amazon Inspector und deine Instance.
2. Wähle Flottenmanager.
3. Wähle unter Verwaltete Knoten deine Knoten-ID aus.
4. Wähle die Registerkarte Bestand, um im Bestand der Instance nach Software-Anwendungen zu suchen.

Es hat sich bewährt, die Bestandserfassungsrate so einzustellen, dass sie alle 30 Minuten ausgeführt wird. Um die Bestandserfassung zu optimieren, bearbeite die Zuordnung InspectorInventoryCollection-do-not-delete und lege dann die Cron-Ausdrucksrate auf 30 Minuten fest.

Ähnliche Informationen

Bewertung der Amazon-Inspector-Abdeckung der AWS-Umgebung

Wie richte ich Amazon Inspector Classic ein, um Sicherheitsbewertungen auf meinen Amazon-EC2-Instances durchzuführen?