مصادر بيانات GuardDuty وأنواع النتائج

لا يثبت GuardDuty مستشعرات؛ بل يحلل السجلات التي تنشئها AWS مسبقًا. وتتمثل مصادر البيانات الأساسية لديه في أحداث الإدارة في CloudTrail، وسجلات تدفق VPC، وسجلات استعلامات DNS. ومن خلال هذه التدفقات الثلاثة، يعيد بناء نشاط الحساب والشبكة وتحليل الأسماء للبحث عن التهديدات.

من خلال قراءة أحداث الإدارة في CloudTrail، يرى GuardDuty استدعاءات API التي تُجرى في حسابكم. ويتيح له ذلك اكتشاف تهديدات الهوية، مثل نشاط API غير المعتاد، أو استخدام بيانات الاعتماد من موقع غريب، أو محاولات تعطيل التسجيل. كما يحلل أحداث بيانات S3 في CloudTrail كمصدر اختياري.

من خلال سجلات تدفق VPC، يراقب GuardDuty اتصالات الشبكة، بما في ذلك الاتصال بعناوين IP معروفة بأنها ضارة. ويفعل ذلك حتى إذا لم تقوموا بتفعيل سجلات التدفق بأنفسكم، لأنه يقرأ بيانات الشبكة الأساسية بشكل مستقل. ويساعد ذلك على اكتشاف الحالات التي تتصل فيها المثيلات بخوادم التحكم والسيطرة.

يفحص GuardDuty سجلات استعلامات DNS لاكتشاف عمليات البحث المشبوهة عن النطاقات، مثل الاستعلامات عن نطاقات البرمجيات الخبيثة أو مؤشرات استخراج البيانات عبر DNS. ويعمل ذلك مع المثيلات التي تستخدم محلل DNS الافتراضي في AWS. وتُعد أنماط DNS غير المعتادة مؤشرًا قويًا على الاختراق.

بالإضافة إلى المصادر الأساسية، يوفر GuardDuty خطط حماية إضافية: حماية S3، وحماية EKS (Kubernetes)، وحماية البرمجيات الخبيثة، وحماية RDS، وحماية Lambda. توسّع كل خطة نطاق الكشف ليشمل خدمة معينة، فتحلل نشاطها بحثًا عن التهديدات المرتبطة بعبء العمل ذلك.

تُجمع نتائج GuardDuty في فئات وفقًا لما تصفه. تُظهر نتائج الاستطلاع عمليات التحسس والفحص. وتُظهر نتائج اختراق المثيلة عبء عمل يتصرف بشكل ضار. أما نتائج اختراق الحساب فتُظهر استخدامًا مشبوهًا لبيانات الاعتماد أو تغييرات في الإعدادات.

تتضمن كل نتيجة نوعًا منظمًا، مثل Recon:EC2/PortProbeUnprotectedPort أو UnauthorizedAccess:IAMUser/MaliciousIPCaller. ويكون التنسيق هو ThreatPurpose:ResourceType/ThreatName. ويساعد فك هذا التنسيق على معرفة القصد، والمورد المتأثر، والسلوك المحدد الذي تم اكتشافه.

يخبركم نوع المورد في النتيجة (EC2 وIAMUser وS3Bucket وKubernetes) بما تأثر. ويخبركم الغرض من التهديد (Recon وUnauthorizedAccess وCryptoCurrency وTrojan وBackdoor) بالهدف المحتمل للمهاجم. ويسمح لكم ذلك بفرز النتائج بسرعة.

تشمل النتائج الشائعة تعدين العملات المشفرة على مثيلة مخترقة، واستخدام مفتاح وصول مكشوف بشكل ضار، وفحص المنافذ، واتصال عقدة خروج Tor بمواردكم. ويساعد التعرف على هذه الأنواع المعتادة على الاستجابة بشكل مناسب بدلًا من التعامل مع كل نتيجة بالطريقة نفسها.

يمكن لخطة حماية البرمجيات الخبيثة فحص وحدات تخزين EBS لمثيلة أشارت إحدى النتائج إلى احتمال تعرضها للخطر، بحثًا عن برمجيات خبيثة، من دون تثبيت أي شيء من جانبكم. وتنتج الخطة نتائج خاصة بالبرمجيات الخبيثة لتأكيد الاشتباه أو تعزيز الثقة به. ويُعد هذا الفحص دون وكلاء إضافة مفيدة عندما تشير نتيجة أساسية إلى احتمال إصابة مثيلة.

من التفاصيل التي يكثر اختبارها: يقرأ GuardDuty مصادره الأساسية بشكل مستقل. ولا يتعين عليكم تفعيل CloudTrail أو سجلات التدفق أو تسجيل DNS بأنفسكم حتى يحلل GuardDuty هذا النشاط، كما أن ذلك لا يؤثر في نسخكم الخاصة من هذه السجلات ولا يفرض رسومًا عليها. ولهذا يستطيع GuardDuty بدء الكشف فور تفعيله.

اربطوا التهديدات بمصادر البيانات.

تتمثل مصادر البيانات الأساسية في GuardDuty في CloudTrail (نشاط الهوية وواجهات API)، وسجلات تدفق VPC (اتصالات الشبكة)، وسجلات DNS (عمليات البحث المشبوهة)، بالإضافة إلى خطط الحماية الاختيارية لـ S3 وEKS وRDS وLambda والبرمجيات الخبيثة. وتستخدم النتائج التنسيق ThreatPurpose:ResourceType/ThreatName، مما يتيح لكم فرزها وفقًا للقصد والمورد المتأثر.