Læsning og prioritering af GuardDuty-findings

En travl konto kan generere mange fund, og de er ikke alle lige vigtige. For at reagere effektivt skal du prioritere og først fokusere på de trusler, der mest sandsynligt kan forårsage reel skade. GuardDuty understøtter dette med alvorsgrader og detaljerede oplysninger om fund, som hjælper dig med at afgøre, hvor du skal se først.

Hvert GuardDuty-fund har en alvorsgrad fra 0,1 til 8,9 og derover, som er knyttet til niveauer. Groft sagt er 1,0 til 3,9 lav, 4,0 til 6,9 middel, og 7,0 til 8,9 høj. Højere tal betyder større sikkerhed og potentiel påvirkning, så de kommer først i køen.

Et fund med høj alvorsgrad tyder på, at en ressource sandsynligvis er kompromitteret og handler ondsindet, hvilket kræver en hurtig indsats. Middel alvorsgrad tyder på mistænkelig aktivitet, der bør undersøges. Lav alvorsgrad afspejler ofte rekognoscering eller usædvanlig, men endnu ikke skadelig adfærd. Alvorsgraden angiver, hvor hurtigt du skal reagere, ikke hvor sikkert et brud har fundet sted.

Hvert fund indeholder den berørte ressource, aktøren (f.eks. en ekstern IP-adresse og dens geografiske placering), den observerede handling og et antal, der viser, hvor mange gange den forekom. Når du læser disse felter, bliver en alarm på én linje til en fortælling: hvem gjorde hvad, mod hvilken ressource, fra hvor og hvor ofte.

Fund registrerer tidsstempler for, hvornår de først og sidst blev set, samt et antal. Et fund, der gentages over flere timer, er mere alvorligt end et enkelt kortvarigt udsving. Disse tidsoplysninger hjælper dig med at vurdere, om et angreb stadig er i gang, hvilket har stor betydning for, hvor hurtigt du skal begrænse det.

Trusselsformålet former din reaktion. Et CryptoCurrency-fund på en instans betyder sandsynligvis mining og kræver isolering. Et UnauthorizedAccess-fund på en IAM-bruger betyder, at en legitimationsoplysning kan være stjålet, og kræver udskiftning af nøglen. At tilpasse reaktionen til formålet er kernen i den første vurdering.

Du kan oprette regler for undertrykkelse for automatisk at arkivere fund, der matcher kendt, forventet adfærd, f.eks. en sårbarhedsscanner, som du med vilje kører. Det holder køen fokuseret på reelle signaler. Undertrykte fund findes stadig til revisionsformål, men distraherer ikke dem, der reagerer på hændelser.

GuardDuty kan generere eksempelfund, så du kan øve den første vurdering og teste din automatisering uden et ægte angreb. Det giver teams mulighed for at opbygge og validere drejebøger for reaktion på en sikker måde. Det er nyttigt at kende denne funktion, når du opsætter pipelines fra detektion til reaktion.

Prioriterede fund går ind i en reaktionsproces: Et kompromitteret højalvorsfund på en instans kan udløse automatisk isolering, mens et identitetsfund med middel alvorsgrad kan sende en alarm til en analytiker. Alvorsgrad og type afgør tilsammen, om automatisering eller et menneske håndterer det, og hvor hurtigt det sker.

GuardDuty samler gentagne forekomster af det samme fund i ét fund og opdaterer antallet og tidspunktet for seneste forekomst i stedet for at oprette en strøm af dubletter. Du kan også konfigurere, hvor ofte opdaterede fund offentliggøres til EventBridge og S3. Det holder køen overskuelig, samtidig med at det stadig fremgår, at et angreb er i gang.

Som standard opbevares GuardDuty-fund i 90 dage. Hvis du vil beholde dem længere til revision eller analyse af tendenser, skal du eksportere fund til en S3-bucket og konfigurere, hvor ofte nye fund eksporteres. Hvis du også sender fund videre til Security Hub og EventBridge, bevares og behandles de dér. Det er vigtigt at vide, hvordan fund opbevares og eksporteres i scenarier med krav om overholdelse.

GuardDuty tildeler hvert fund en alvorsgrad (omtrent lav 1-3,9, middel 4-6,9, høj 7-8,9) samt oplysninger om ressourcen, aktøren, handlingen, den geografiske placering og tidspunktet. Prioritér efter alvorsgrad og påvirkning, brug trusselsformålet til at vælge en reaktion, og anvend regler for undertrykkelse til at fjerne kendt harmløs støj. Med eksempelfund kan du øve den første vurdering på sikker vis.