قراءة نتائج GuardDuty وترتيب أولوياتها

قد ينشئ الحساب المزدحم عددًا كبيرًا من النتائج، ولا تتمتع جميعها بالأهمية نفسها. وللاستجابة بشكل جيد، يجب عليكم ترتيب الأولويات، مع التركيز أولًا على التهديدات الأكثر احتمالًا للتسبب في ضرر حقيقي. ويدعم GuardDuty ذلك من خلال درجات الخطورة والتفاصيل الغنية للنتيجة التي توضح أين يجب أن تنظروا أولًا.

تحمل كل نتيجة في GuardDuty قيمة للخطورة تبدأ من 0.1 وتصل إلى 8.9 وما فوق، وتُربط بمستويات محددة. وبشكل تقريبي، يتراوح المستوى منخفض بين 1.0 و3.9، والمتوسط بين 4.0 و6.9، والعالي بين 7.0 و8.9. وتشير الأرقام الأعلى إلى ثقة أكبر وتأثير محتمل أكبر، ولذلك تتقدم في قائمة المعالجة.

تشير النتيجة ذات الخطورة العالية إلى أن موردًا ما قد يكون مخترقًا على الأرجح ويتصرف بشكل ضار، مما يتطلب إجراءً عاجلًا. وتشير الخطورة المتوسطة إلى نشاط مشبوه يستحق التحقيق. أما الخطورة المنخفضة فغالبًا ما تعكس استطلاعًا أو سلوكًا غير معتاد لم يصبح ضارًا بعد. وتوجه الخطورة درجة الإلحاح، لكنها لا تؤكد حدوث الاختراق.

تتضمن كل نتيجة المورد المتأثر، والجهة الفاعلة (مثل عنوان IP البعيد وموقعه الجغرافي)، والإجراء المرصود، وعدد مرات حدوثه. ويحوّلَت قراءة هذه الحقول تنبيهًا من سطر واحد إلى قصة: من فعل ماذا، وعلى أي مورد، ومن أين، وكم مرة.

تتتبع النتائج الطابعين الزمنيين للظهور الأول والأخير وعدد مرات الحدوث. وتكون النتيجة التي تتكرر على مدى ساعات أخطر من ومضة واحدة. وتساعدكم تفاصيل التوقيت هذه على تحديد ما إذا كان الهجوم مستمرًا، وهو ما يؤثر بشدة في سرعة احتوائه المطلوبة.

يحدد الغرض من التهديد شكل استجابتكم. فنتيجة CryptoCurrency على مثيلة تعني احتمال إجراء تعدين، وتستدعي عزل المثيلة. أما نتيجة UnauthorizedAccess على مستخدم IAM فتعني احتمال سرقة بيانات اعتماد، وتستدعي تدوير المفاتيح. وتُعد مواءمة الاستجابة مع الغرض جوهر فرز النتائج.

يمكنكم إنشاء قواعد الاستبعاد لأرشفة النتائج التي تطابق سلوكًا معروفًا ومتوقعًا تلقائيًا، مثل فاحص ثغرات تقومون بتشغيله عمدًا. ويحافظ ذلك على تركيز قائمة الانتظار على الإشارات الحقيقية. وتظل النتائج المستبعدة موجودة لأغراض التدقيق، لكنها لا تشتت انتباه المستجيبين.

يمكن لـ GuardDuty إنشاء نتائج نموذجية حتى تتمكنوا من التدريب على فرز النتائج واختبار الأتمتة من دون وقوع هجوم حقيقي. ويتيح ذلك للفرق إنشاء أدلة الاستجابة والتحقق منها بأمان. وتُعد معرفة وجود هذه الميزة مفيدة عند إعداد مسارات الكشف والاستجابة.

تنتقل النتائج المرتبة حسب الأولوية إلى عملية الاستجابة: فقد يؤدي اختراق مثيلة عالي الخطورة إلى عزل تلقائي، بينما قد تؤدي نتيجة هوية متوسطة الخطورة إلى تنبيه محلل. وتحدد الخطورة والنوع معًا ما إذا كانت الأتمتة أو الشخص سيتولى المعالجة، ومدى سرعة ذلك.

يقوم GuardDuty بتجميع التكرارات المتعددة للنتيجة نفسها في نتيجة واحدة، ويحدّث عدد مرات حدوثها ووقت ظهورها الأخير بدلًا من إنشاء عدد كبير من النتائج المكررة. ويمكنكم أيضًا إعداد معدل نشر النتائج المحدّثة إلى EventBridge وS3. ويحافظ ذلك على وضوح قائمة الانتظار مع استمرار عكس كون الهجوم جاريًا.

يحتفظ GuardDuty بالنتائج لمدة 90 يومًا افتراضيًا. وللاحتفاظ بها مدة أطول لأغراض التدقيق أو تحليل الاتجاهات، يمكنكم تصدير النتائج إلى حاوية S3 وإعداد معدل تصدير النتائج الجديدة. كما يحافظ إرسال النتائج إلى Security Hub وEventBridge على النتائج ويتيح اتخاذ إجراءات بشأنها. وتهم معرفة كيفية الاحتفاظ بالنتائج وتصديرها في سيناريوهات الامتثال.

رتبوا النتائج حسب مستوى الخطورة.

يعيّن GuardDuty لكل نتيجة مستوى خطورة (منخفض تقريبًا من 1 إلى 3.9، ومتوسط من 4 إلى 6.9، وعالٍ من 7 إلى 8.9)، بالإضافة إلى تفاصيل المورد والجهة الفاعلة والإجراء والموقع الجغرافي والتوقيت. رتبوا الأولويات وفقًا للخطورة والتأثير، واستخدموا الغرض من التهديد لاختيار الاستجابة، وطبقوا قواعد الاستبعاد لإسكات الضوضاء المعروفة بأنها غير ضارة. وتتيح النتائج النموذجية التدريب على الفرز بأمان.