Por que o Amazon Inspector não verifica minhas instâncias do Amazon EC2?

Breve descrição

Se você receber uma das seguintes mensagens de status, o Amazon Inspector não verificou sua instância do Amazon EC2: "EC2 instance stopped", "Unmanaged EC2 instance", "Unsupported OS", "Internal error", "Pending initial scan" ou "No inventory."

O Amazon Inspector pode não verificar suas instâncias do EC2 pelos seguintes motivos:

• O AWS Systems Manager Agent (SSM Agent) não está atualizado.
• A instância do EC2 não está no estado Running.
• O sistema operacional (SO) não é compatível.
• Sua instância não está conectada ao AWS Systems Manager.
• O Amazon Inspector não está associado ao Systems Manager.

É possível usar o painel do Amazon Inspector para monitorar o status de suas instâncias. Para obter mais informações, consulte Verificar as instâncias do Amazon EC2 com o Amazon Inspector.

Pré-requisito: certifique-se de que a instância de destino seja uma instância gerenciada. Para obter mais informações, consulte Trabalhar com nós gerenciados.

Resolução

Observação: se você receber mensagens de erro ao executar comandos da AWS Command Line Interface (AWS CLI), consulte Solução de problemas da AWS CLI. Além disso, verifique se você está usando a versão mais recente da AWS CLI.

Atualize a versão do SSM Agent

Para verificar instâncias, o SSM Agent deve estar em execução no Amazon Inspector. Se você tiver uma versão anterior do SSM Agent, atualize para a versão mais recente. Para obter mais informações sobre como atualizar para a versão mais recente, consulte Releases · aws/amazon-ssm-agent (Lançamentos · aws/amazon-ssm-agent) no site do GitHub. É uma prática recomendada configurar o Systems Manager para atualizar o SSM Agent automaticamente.

Para atualizar o SSM Agent manualmente, assine as notificações do SSM Agent. Em seguida, use Run Command para atualizar o SSM Agent. Também é possível assinar as notas de lançamento do SSM Agent no site do GitHub.

Confirme se sua instância está no status Running

Se sua instância estiver no status EC2 instance stopped, então a instância foi interrompida e o Amazon Inspector pausou a verificação. Para iniciar a verificação novamente, inicie sua instância do EC2.

O Amazon Inspector mantém os resultados da verificação anterior quando a instância do EC2 é interrompida. O Amazon Inspector verifica os intervalos que você define nas associações do Systems Manager. É possível modificar os intervalos de verificação em instâncias do Linux e do Windows.

Verifique se o Amazon Inspector é compatível com o SO

Se sua instância estiver no status Unsupported OS, o Amazon Inspector não é compatível com o sistema operacional usado pela instância.

Para verificar sua versão do Linux, execute o seguinte comando:

cat /etc/os-releaselsb_release -ahostnamectl

No Windows, pesquise as Informações do sistema e, em seguida, abra a aplicação. Em seguida, para saber se o Amazon Inspector é compatível com seu SO, verifique a lista de sistemas operacionais compatíveis para verificar instâncias.

Confirme se sua instância está conectada ao Systems Manager

Se sua instância não aparecer no console do Systems Manager, execute o runbook AWSSupport-TroubleshootManagedInstance para identificar automaticamente problemas de configuração do Systems Manager. Para obter mais informações, consulte Por que o Systems Manager não está mostrando minha instância do Amazon EC2 como uma instância gerenciada?

Para verificar manualmente a conexão da sua instância com o Systems Manager, conclua as seguintes etapas:

1. Abra o console do Systems Manager na mesma região da AWS do Amazon Inspector e da sua instância.
2. Clique em Fleet Manager.
3. Em Nós gerenciados, verifique o status do ping do SSM Agent.
   Se o status for On-line, então sua instância está conectada ao SSM Agent.
   Se o status do ping do SSM Agent for Connection Lost, certifique-se de que sua instância atenda aos pré-requisitos do Systems Manager. Para identificar o problema e solucioná-lo, execute o seguinte ssm-cli get-diagnostics:

   ssm-cli.exe get-diagnostics --output table

Verifique se você associou o Amazon Inspector ao Systems Manager

Para coletar o inventário de aplicações de software, o Amazon Inspector exige uma associação com o Gerenciador de estados, um recurso do Systems Manager, em sua conta da AWS. Se você obtiver o status No inventory, então o Amazon Inspector não encontrou o inventário de aplicações de software para verificar sua instância.

Para verificar se você associou o Amazon Inspector e o Gerenciador de estados, conclua as seguintes etapas:

1. Abra o console do Systems Manager na mesma região do Amazon Inspector e da sua instância.
2. Clique em Gerenciador de Estados.
3. Em Associações, certifique-se de que a associação InspectorInventoryCollection-do-not-delete existe e se o Status é Success.
4. Se a associação InspectorInventoryCollection-do-not-delete não existir, execute o documento AWS-GatherSoftwareInventory do SSM em suas instâncias. Selecione o ID da associação da instância que não foi verificada e, em seguida, clique na guia Histórico de execução para obter mais detalhes.
5. Se o status da associação InspectorInventoryCollection-do-not-delete for Failed, selecione o ID da associação. Em seguida, clique em Aplicar associação agora. Verifique o Status da associação InspectorInventoryCollection-do-not-delete para confirmar que ele mudou de Failed para Success.

O plug-in para Windows do Amazon Inspector SSM é instalado automaticamente pelo Amazon Inspector em suas instâncias do Windows. Quando você ativa a verificação do EC2, o Amazon Inspector cria novas associações de SSM para seus recursos do Windows.

As associações SSM incluem InspectorDistributor-do-not-delete, InspectorInventoryCollection-do-not-delete e InvokeInspectorSsmPlugin-do-not-delete. Se o status das associações for Failed, aplique a associação novamente.

Se o arquivo InspectorSsmPlugin.exe não existir, a associação SSM InspectorDistributor-do-not-delete reinstala automaticamente o plug-in durante a próxima verificação do Windows. Para obter mais informações, consulte Verificar as instâncias do Amazon EC2 com o Amazon Inspector.

Verifique se o nó existe na aplicação de software

Conclua as etapas a seguir:

1. Abra o console do Systems Manager na mesma região do Amazon Inspector e da sua instância.
2. Clique em Fleet Manager.
3. Em Nós gerenciados, selecione o ID do seu nó.
4. Selecione a guia Inventário para verificar se há aplicações de software no inventário da sua instância.

É uma prática recomendada definir a taxa de coleta de inventário para ser executada a cada 30 minutos. Para otimizar a coleta de inventário, edite a associação InspectorInventoryCollection-do-not-delete e, em seguida, defina a taxa de expressão cron para 30 minutos.

Informações relacionadas

Avaliando a cobertura do Amazon Inspector sobre seu ambiente AWS

Como configurar o Amazon Inspector Classic para executar avaliações de segurança em minhas instâncias do Amazon EC2?