ما الذي يكتشفه GuardDuty ولماذا

‏Amazon GuardDuty هي خدمة AWS مُدارة لاكتشاف التهديدات. وتتمثل ميزتها الأساسية في أنها لا تحتاج إلى وكلاء أو برامج لنشرها. ما عليك سوى تفعيلها، وستبدأ في تحليل بيانات القياس الخاصة بـ AWS بحثًا عن سلوك ضار أو غير مصرّح به. وهذا يجعل نشرها سريعًا على مستوى الحساب أو المؤسسة بأكملها.

يستقبل GuardDuty مصادر البيانات الموجودة ويحللها باستمرار، ثم يطبّق معلومات التهديدات واكتشاف الحالات الشاذة والتعلّم الآلي لرصد النشاط المشبوه. وبما أنه يقرأ السجلات التي تنتجها AWS أصلًا، فإنه يضيف إمكانات الكشف من دون تغيير أحمال العمل لديك. ويعمل بالكامل كخدمة مُدارة.

يحلل GuardDuty نشاط الحساب والشبكة لاكتشاف التهديدات. ويمكنه رصد الاستطلاع، والمثيلات المخترقة، والسلوك غير المعتاد للحساب. ومن الأمثلة على ذلك اتصال مثيل بعنوان IP ضار معروف، أو استخدام بيانات اعتماد من موقع غير معتاد، أو محاولة تعطيل تسجيل الأحداث الأمنية.

يستفيد GuardDuty من خلاصات معلومات التهديدات المقدمة من AWS والجهات الخارجية، وهي قوائم بعناوين IP والنطاقات المعروفة بسوء استخدامها. وعندما تتصل مواردك بأحدها، ينشئ نتيجة. ويمكنك أيضًا توفير قوائم IP الموثوقة وقوائم التهديدات الخاصة بك لضبط الكشف بما يناسب بيئتك.

إضافةً إلى القوائم المعروفة بالسوء، يتعلم GuardDuty السلوك الطبيعي لحسابك ويعلّم الحالات الشاذة. فقد تؤدي مكالمة API من بلد جديد، أو ارتفاع غير معتاد في النشاط، أو استخدام دور بطريقة لم يُستخدم بها من قبل، إلى إنشاء نتائج. ويساعد ذلك على اكتشاف الهجمات الجديدة التي لن تعرفها أي قائمة حظر.

نقطة أساسية: يكتشف GuardDuty التهديدات وينبّه إليها، لكنه لا يحظرها. فهو ينتج نتائج تصف ما رصده. وللاستجابة لنتيجة ما، تصلها بالأتمتة، مثل تشغيل EventBridge لإجراء معالجة. ويُختبر الفرق بين الاكتشاف والمنع كثيرًا.

يدعم GuardDuty وجود مسؤول مفوّض يدير الكشف عبر مؤسسة AWS بأكملها. ويمكن لحساب أمان واحد تفعيل GuardDuty لكل حساب عضو وعرض جميع النتائج مركزيًا. ويسمح ذلك بتوسيع نطاق الكشف من دون إعداد كل حساب يدويًا.

بما أنه لا يحتاج إلى وكلاء أو خوادم أو مسارات سجلات لإنشائها، فإن تكلفة تشغيل GuardDuty التشغيلية منخفضة جدًا. وتدفع مقابل حجم البيانات التي يجري تحليلها. ولهذا النموذج السهل غالبًا ما تكون هذه الخدمة أول خدمة كشف تفعّلها المؤسسة.

تتدفق نتائج GuardDuty بشكل طبيعي إلى Security Hub لتجميعها، وإلى Detective للتحقيق فيها، وإلى EventBridge للاستجابة. يُعد GuardDuty محرك الكشف في مركز مسار أكبر للاستجابة للتهديدات، وليس أداة مستقلة.

يمكنكم ضبط GuardDuty باستخدام قوائم عناوين IP الموثوقة (العناوين التي لا تريدون الإبلاغ عنها مطلقًا) وقوائم عناوين IP للتهديدات (العناوين التي تريدون الإبلاغ عنها دائمًا)، بالإضافة إلى قواعد الاستبعاد لأرشفة النتائج المتوقعة. يقلل هذا الضبط من الضوضاء حتى يركز المحللون على التهديدات الحقيقية. ويتوقع الاختبار أن تعرفوا أن GuardDuty قابل للتعديل ليتناسب مع البيئة، وليس صندوقًا أسود ثابتًا.

لا تخلطوا بين GuardDuty وAmazon Inspector. يراقب GuardDuty النشاط المباشر لاكتشاف التهديدات وعمليات التسلل النشطة. أما Inspector فيفحص الثغرات الأمنية، مثل البرامج غير المصححة وإمكانية الوصول الشبكي الخطرة، قبل استغلالها. الأول مخصص لكشف التهديدات أثناء التشغيل، والثاني لتقييم الثغرات، وغالبًا ما يختبر الامتحان اختيار الخدمة المناسبة لهدف معين.

اختبروا أساسيات GuardDuty لديكم.

إن GuardDuty خدمة مُدارة لكشف التهديدات دون وكلاء، وتحلل بيانات القياس عن بُعد الموجودة في AWS باستخدام معلومات التهديدات وكشف الحالات الشاذة والتعلّم الآلي. وهي ترسل تنبيهات عبر النتائج، لكنها لا تحظر؛ إذ تتطلب المعالجة التلقائية. يتيح المسؤول المفوض تفعيلها عبر Organization، وتتدفق نتائجها إلى Security Hub وDetective وEventBridge.