ESET Cloud Workload Protection—Microsoft Azure，Amazon Web Services，Google Cloud Platform 主要功能
•藉由同步化資源群組中組織的虛擬機器，達到對雲端工作負載的可視性和防護。
•可手動或自動為新建立的執行個體部署安全性防護，以保護工作負載。
•提供來自受保護工作負載的端點層級安全性指示器，擴展對雲端環境中威脅的可視性。
•事件中提供延伸的資產內容並支援對受保護機器採取回應動作。
•擷取更多雲端指示器與遙測資料，擴大對雲端環境活動的可視性。
如何啟用整合
先決條件
在開始 CloudFormation 範本部署之前，請檢閱並完成適用於您所選路徑的所有先決條件。
無論您選擇哪個範本，這些需求都適用。
帳戶位於標準 AWS 分割區中
僅支援標準 AWS 商業分割區中的 AWS 組織和帳戶。不支援其他分割區 (例如 AWS GovCloud 或 AWS China) 中的帳戶。
在支援的 AWS 區域進行部署
將 CloudFormation 範本部署到 AWS 預設啟用的其中一個 AWS 區域 (不支援 GovCloud 和中國區域)：
美國東部 (北維吉尼亞)—us-east-1
美國東部 (俄亥俄)—us-east-2
美國西部 (北加利福尼亞)—us-west-1
美國西部 (俄勒岡)—us-west-2
亞太地區 (孟買)—ap-south-1
亞太地區 (大阪)—ap-northeast-3
亞太地區 (首爾)—ap-northeast-2
亞太地區 (新加坡)—ap-southeast-1
亞太地區 (雪梨)—ap-southeast-2
亞太地區 (東京)—ap-northeast-1
加拿大 (中部)—ca-central-1
歐洲 (法蘭克福)—eu-central-1
歐洲 (愛爾蘭)—eu-west-1
歐洲 (倫敦)—eu-west-2
歐洲 (巴黎)—eu-west-3
歐洲 (斯德哥爾摩)—eu-north-1
南美洲 (聖保羅)—sa-east-1
AWS 帳戶權限
您用於部署 CloudFormation 堆疊的 AWS IAM 主體 (使用者或角色) 必須具有足夠的權限來建立範本佈建的所有資源。
所需權限範圍：AdministratorAccess，或是允許建立下列項目的自訂原則：
•IAM 角色與受管理原則
•S3 儲存貯體和儲存貯體原則
•CloudTrail 追蹤
•Lambda 函數 (以 CloudFormation 自訂資源形式調用)
•CloudFormation 堆疊與 StackSets
如果您不確定您的憑證是否足夠，請在繼續進行之前諮詢您的 AWS 管理員。
每個帳戶/組織只需部署一次堆疊
每個範本都會建立具有固定名稱的資源 (例如 CwppServiceRole)。在相同帳戶中部署第二個堆疊將會失敗，並且出現資源已存在錯誤。如果先前的部署失敗或需要重新部署，請先刪除現有的 CloudFormation 堆疊。
明確拒絕原則中的 CWP 服務角色例外
如果您的 AWS 帳戶或組織使用服務控制原則 (SCP) 或基於資源的原則，並且其中包含針對 aws:PrincipalARN 使用 StringNotLike 條件的明確 Deny，則您必須為 CWP 所建立的 IAM 角色新增例外。如果沒有此例外，拒絕原則將會封鎖 CWP 作業。
需要的例外：
•所有帳戶
將下列角色新增到允許清單：arn:aws:iam::*:role/CwppServiceRole。
•管理帳戶 (僅限組織範圍內的部署)
對於組織範圍內的部署，您還必須將其新增到管理帳戶允許清單：arn:aws:iam::*:role/CwppManagementServiceRole。
只需將此角色新增到管理帳戶中基於資源的原則即可。SCP 不適用於管理帳戶，因此角色不需要 SCP 更新。
範例原則：
{
"Effect": "Deny",
"Resource": "*",
"Condition": {
"StringNotLike": {
"aws:PrincipalARN": "arn:aws:iam::*:role/CwppServiceRole"
}
}
}
在部署 CloudFormation 堆疊之前，請確保將所需的角色包含在任何此類原則的 StringNotLike 允許清單中。
CwppManagementServiceRole 僅與組織範圍內的部署相關，並且僅在管理帳戶的基於資源的原則中適用。
|
|
如果您計劃在任何執行個體上部署 ESET 防護產品，則EC2 執行個體必須安裝並執行 SSM 代理程式 (大多數 AWS 提供的 AMI 上都已預先安裝該代理程式)。DHMC 啟用自動管理，但不安裝 SSM 代理程式。此需求也可稍後啟用，且在上線之前是非強制的。
|
|
當使用任何一種組織範本時，這些額外需求皆適用。
從管理帳戶部署
組織範本必須在登入您的 AWS 組織管理帳戶時進行部署。此部署無法使用成員帳戶。
找出您的根組織單位 ID
部署期間，系統會要求您提供根組織單位 ID，該 ID 用於部署 StackSets 到所有的帳戶。若要尋找它：
1.開啟 AWS 組織主控台。
2.按一下組織樹狀結構頂端的 [根] 項目。
3.複製 ID—格式為 r-xxxx。
請參閱有關瀏覽您組織階層的 AWS 文件以取得詳細指示。
啟動 CloudFormation 的權限 – 組織信任存取
範本會自動啟動 CloudFormation 與 AWS組織之間的信任存取 (透過 Lambda 自訂資源)。必須允許部署主體呼叫 cloudformation:ActivateOrganizationsAccess。這包含在 AdministratorAccess 中。如果您使用具有範圍的權限集合，請確保這個動作是明確允許的。
|
當使用任何一種 DHMC 範本變體時，這些額外需求皆適用。
無衝突的預設主機管理配置 (DHMC)
如果您之前使用過 AWS SSM 快速設定來設定 DHMC，即使是部分配置，您也無法使用具有 DHMC 設定的組織範圍內上線。這兩種配置會互相衝突。在這種情況下：
1.使用非 DHMC 組織上線。
2.在您現有的 SSM 快速設定配置中，請確保 DHMC 在所有成員帳戶和所有將要部署的 CWP 區域中都處於作用中狀態。
SSM 快速設定的權限
除了基本組織權限以外，部署主體還需要：
•ssm-quicksetup:UpdateServiceSettings
•organizations:EnableAWSServiceAccess
•建立服務連結角色的權限
這些都包含在 AdministratorAccess 中。此範本會自動建立執行這些步驟的 Lambda，您無需手動執行任何命令。
|
在 CWP 中針對 AWS EC2 執行個體啟用虛擬機器 (EC2 執行個體) 防護，涉及兩個層級的需求。首先必須將 EC2 執行個體註冊為 SSM 管理的執行個體 (帳戶層級設定)，然後每個執行個體都必須符合 VM 層級需求，才能在其上安裝防護產品。其他 CWP 功能則適用於不符合這些先決條件的帳戶。
帳戶先決條件
這些需求適用於 AWS 帳戶層級。當使用 DHMC 範本變體時，CWP 會在上線期間中自動配置這些需求。對於在上線期間 (或之前) 未設定 DHMC 的帳戶，必須手動完成這些步驟才能啟用虛擬機器防護。
•防護部署的支援區域
虛擬機器防護可以部署到下列 AWS 區域中的 EC2 執行個體，無需額外手動配置預設主機管理配置 (DHMC)：
美國東部 (俄亥俄)—us-east-2
美國東部 (北維吉尼亞)—us-east-1
美國西部 (北加利福尼亞)—us-west-1
美國西部 (俄勒岡)—us-west-2
亞太地區 (孟買)—ap-south-1
亞太地區 (首爾)—ap-northeast-2
亞太地區 (新加坡)—ap-southeast-1
亞太地區 (雪梨)—ap-southeast-2
亞太地區 (東京)—ap-northeast-1
加拿大 (中部)—ca-central-1
歐洲 (法蘭克福)—eu-central-1
歐洲 (斯德哥爾摩)—eu-north-1
歐洲 (愛爾蘭)—eu-west-1
歐洲 (倫敦)—eu-west-2
歐洲 (巴黎)—eu-west-3
南美洲 (聖保羅)—sa-east-1
•EC2 執行個體必須是 SSM 管理的執行個體
CWP 透過 AWS 系統管理員 (SSM) 部署 ESET 防護產品。若要讓 SSM 能夠存取 EC2 執行個體，則該執行個體必須註冊為 SSM 管理的執行個體。為了確保帳戶中的所有執行個體都能達到這一點，建議的方式是啟用預設主機管理配直 (DHMC)，其會自動註冊帳戶和區域中的每個 EC2 執行個體，而無需在每個執行個體上使用專用的 IAM 執行個體設定檔。
DHMC 可以在 AWS 主控台的 [Systems Manager] > [Fleet Manager] > [帳戶管理] 下按照區域啟用，也可以透過 SSM 快速設定在組織範圍內啟用。請參閱 AWS DHMC 文件以取得詳細資料。
虛擬機器層級需求
這些需求適用於每個個別 EC2 執行個體。當帳戶層級設定完成後，只有符合以下所有條件，才能將防護產品部署到執行個體。
•EC2 執行個體必須具備對外網際網路存取權
每個用於防護部署的 EC2 執行個體都必須具有對外網際網路存取權。對於沒有 NAT 閘道的私人子網路中的執行個體，必須先配置對外網際網路存取權，然後才能部署防護。
•必須安裝並執行 SSM 代理程式
AWS SSM 透過 SSM 代理程式與 EC2 執行個體進行通訊。大多數 AWS 提供的 AMI (Amazon Linux、Ubuntu Server、Windows Server) 都包含預先安裝的 SSM 代理程式。對於自訂或第三方 AMI，請確認代理程式已安裝並執行。
請參閱 AWS SSM 代理程式文件，以了解安裝指示以及如何驗證執行個體中的代理程式狀態。
若要在 AWS 中對 Linux 的 EC2 執行個體進行功能性防護部署，受保護的帳戶或組織需要啟用 AWS System Manager，且 EC2 執行個體需要安裝 SSM 代理程式。
•虛擬機器必須執行支援的作業系統
CWP 只能在執行支援作業系統發行版本的執行個體上部署 ESET 防護產品。如需支援的作業系統發行版本的完整清單，請參閱下方的參考資料。
•虛擬機器必須符合防護產品系統的需求
每個用於防護部署的虛擬機器都必須滿足 ESET 防護產品的硬體和軟體最低需求。
Windows Server
o處理器:Intel 或 AMD 單核心 x64
o記憶體:256 MB 的可用記憶體
o硬碟：700 MB 的可用磁碟空間
Linux
o處理器:Intel/AMD x64 雙核心 (vCPU)
o記憶體:2 GB 的記憶體
o硬碟：700 MB 的可用磁碟空間
oGlibc 2.28 或更新版本
oLinux 核心版本 4.18 或更新版本
o任何 UTF-8 編碼地區設定
o必須停用安全開機
ocurl 或 wget 必須安裝
o其他套件依賴 Live Installer，而 Live Installer 必須安裝其相依性/程式庫才能執行：
oglibc
olibgcc
oopenssl (libssl)
ocurl (libcurl)
otar |
Web 主控台中的 ESET PROTECT 整合設定
按一下 [連接] 以進行 [連接整合] 流程：
1.一般設定—輸入 [名稱]，選取一個方法：AWS 組織 (具有根組織單位 ID) 或 AWS 單一帳戶 (具有帳戶 ID)、輸入 [用戶端說明] 並按一下 [繼續]。
2.主機管理—如果您的 AWS 帳戶已啟用預設主機管理設定，請選取此選項。
3.CloudFormation—在 AWS 建立堆疊 (按一下 [在 中啟動AWS] 按鈕，查看堆疊狀態或完成設定)，然後選取 [確認狀態]。
4.整合摘要—以您的設定檢閱 [整合摘要] ([名稱]、[方法]、[帳戶 ID]、[ESET CWP S3 儲存貯體]、[用戶端說明])，然後按一下 [完成]。
|
|
整合完成後 (狀態：作用中)，你可以在 [電腦] > [公司] 樹狀結構 > 所選組織 (靜態群組) 中的 [整合] 看到已同步的虛擬機器。
|
部署
系統需求與支援的作業系統
您可以將 ESET 防護部署到符合 ESET 安全性應用程式安裝系統需求的虛擬機器上：
•ESET Server Security for Windows (Windows 虛擬機器)
•ESET Server Security for Linux (Linux 虛擬機器)
自動部署
預設情況下，自動部署為關閉。您可以在 [設定] 區段，定義在已連接雲端環境中虛擬機器中，ESET Cloud Workload Protection 的行為模式。
如果已配置的話，則每隔 15 分鐘檢查指定群組 (目標) 中是否有符合資格的虛擬機器以開始部署。如果是的話，將於幾分鐘內在虛擬機器上安裝 ESET Management 代理程式及安全性產品。
審核防護記錄包含關於開始部署的資訊。
手動部署
選取您要啟用 ESET 安全性產品的電腦。將自動指派訂閱。
1.前往 [電腦] > 選取公司 (靜態群組) > 列出虛擬機器。
2.選取虛擬機器 > 按一下三點 
按鈕 > 選取 [平台模組] > 按一下 [啟用適用於雲端的 ESET 安全性應用程式]。
3.選取 [目標]。
4.選取以同意 [法律文件] 並按一下 [啟用]。
正在還原雲端側的變更
當整合已成功從入口網站移除後，請執行下列步驟，以完全還原在雲端側所做的所有變更：
1.刪除 CloudFormation 堆疊
1.請前往 AWS CloudFormation > Stacks。
2.找出您的 CWP 堆疊（即您部署時所使用的名稱；預設名稱為 CWPP-Integration）。
3.按一下堆疊名稱。
4.按一下 [移除] 按鈕。
5.點選 刪除堆疊 以確認。
6.請等待刪除作業完成（可查看 事件 索引標籤以進行監控）。 |
2.驗證 S3 儲存貯體清理
在刪除過程中，CloudTrail S3 儲存貯體應會自動清空並移除。例如，若在刪除期間 CloudTrail 仍持續將日誌寫入該儲存貯體，或是自訂的服務控制政策 (SCP) 阻擋了該作業，就可能發生錯誤。因此，我們建議確認該儲存貯體是否已成功刪除。
1.前往 AWS S3 > Buckets。
2.尋找名稱以 eset-cwpp-ct- 開頭、後接您帳戶 ID 的儲存貯體。 |
|
|
只有您 AWS 帳戶的根帳戶使用者才能刪除 CWP S3 儲存貯體。一般的身分與存取管理（IAM）使用者無法執行此動作。
|
3.僅限組織部署
停用 AWS CloudFormation 與 AWS Organizations 之間的信任存取,並在不再需要服務連結角色 AWSServiceRoleForCloudFormationStackSetsOrgAdmin 時將其移除。
1.前往 AWS Organizations 主控台。
2.在導覽窗格中，選擇 服務。
3.從服務清單中，選擇 AWS CloudFormation StackSets。
4.點選停用信任存取並確認該操作。
5.前往 IAM > 角色。
6.找出並刪除 AWSServiceRoleForCloudFormationStackSetsOrgAdmin 服務連結角色。 |
|
|
AWS CloudFormation 與 AWS 組織之間的受信任存取，可供多個 CloudFormation StackSets 部署使用。除非您已確認不再需要信任存取，否則請勿停用信任存取。在部署 CWP CloudFormation 堆疊之前，信任存取可能已經啟用。
|
4.僅使用 DHMC 設定的組織部署
1.前往 AWS Organizations 主控台。
2.在導覽窗格中，選取 服務。
3.從服務清單中，選擇 Systems Manager。
4.按一下 停用受信任存取 按鈕。
5.出現提示時請確認該動作。 |
|
|
停用 Systems Manager 信任存取會影響您組織中所有的 Systems Manager 部署。僅在您未使用其他 SSM 組態時才停用它。
|
1. 前往 AWS Organizations 主控台。
2.在導覽窗格中，選擇 服務。
3.從服務清單中，選擇 QuickSetup。
4.點擊 停用受信任存取 按鈕。
5.出現提示時請確認該動作。 |
|
|
此步驟會停用整個組織中 SSM 快速設定的集中式組態管理。只有在您要完全移除所有 SSM 快速設定部署時，才執行此步驟。
|
1.前往 IAM > 角色。
2.搜尋 AWS-QuickSetup-SSM-RoleForEnablingExplorer。
3.找到後，點選角色名稱。
4.點擊 刪除角色 按鈕。
5.確認刪除。 |
|
|
刪除該角色可能會影響 SSM Explorer 相關功能。在刪除該角色之前，請確認不再需要 SSM Explorer 功能。
|
可能已建立下列服務連結角色：
AWSServiceRoleForAmazonSSM
ServiceRoleForAccountDiscoverySSM
AWSServiceRoleForSSMQuickSetup
請以與前一步驟中刪除 Explorer 角色相同的方式，刪除指定的角色。
|
|
|
如果沒有服務使用服務連結角色，請將其刪除。
|
5.僅具有 DHMC 設定的部署
如果您不需要預設主機管理設定 (DHMC)，請在所有 AWS 區域中停用此功能。在組織整體部署中，僅在 AWS Organizations 管理帳戶中停用此設定。如果您需要繼續使用預設主機管理設定（例如，使用 AWS Systems Manager），請將 CWP 部署所建立的 IAM 角色（SSMDefaultEC2InstanceManagementRole）替換為另一個有效的 IAM 角色。SSMDefaultEC2InstanceManagementRole 會在堆疊刪除期間一併移除，若仍保留其設定，將導致預設主機管理設定 (Default Host Management Configuration) 參照到不存在的角色。
1.前往 AWS Systems Manager > Fleet Manager。
2.按一下帳戶管理。
3.如果不需要 DHMC，請停用 啟用預設主機管理設定 選項；若要繼續使用 DHMC，請選取現有的 IAM 角色。
4.按一下 設定 以儲存變更。
5.在所有 AWS 區域中重複這些步驟。 |
