Hvad GuardDuty registrerer, og hvorfor

Amazon GuardDuty er AWS' administrerede tjeneste til registrering af trusler. Det særlige ved den er, at den kræver ingen agenter og ingen software, der skal installeres. Du aktiverer den blot, hvorefter den begynder at analysere AWS-telemetri for ondsindet eller uautoriseret adfærd. Det gør den hurtig at rulle ud på tværs af en hel konto eller organisation.

GuardDuty indsamler og analyserer løbende eksisterende datakilder og anvender derefter trusselsinformation, anomalidetektion og maskinlæring til at finde mistænkelig aktivitet. Fordi den læser logfiler, som AWS allerede producerer, tilføjer den detektion uden at ændre dine arbejdsbelastninger. Den kører udelukkende som en administreret tjeneste.

GuardDuty analyserer konto- og netværksaktivitet for at registrere trusler. Den kan opdage rekognoscering, kompromitterede instanser og usædvanlig kontoaktivitet. Eksempler er en instans, der kommunikerer med en kendt ondsindet IP-adresse, legitimationsoplysninger, der bruges fra et usædvanligt sted, eller et forsøg på at deaktivere sikkerhedslogning.

GuardDuty trækker på AWS' og tredjeparters trusselsinformationskilder, som indeholder lister over kendte ondsindede IP-adresser og domæner. Når dine ressourcer kommunikerer med et af disse, opretter den et fund. Du kan også angive dine egne lister over betroede og truende IP-adresser for at tilpasse registreringen til dit miljø.

Ud over lister over kendte trusler lærer GuardDuty din kontos normale adfærd at kende og markerer anomalier. Et API-kald fra et nyt land, en usædvanlig stigning i aktiviteten eller en rolle, der bruges på en måde, den aldrig har været brugt på før, kan alle udløse fund. Det opfanger nye angreb, som ingen blokeringsliste ville kende.

Et afgørende punkt: GuardDuty registrerer og advarer; den blokerer ikke. Den producerer fund, der beskriver, hvad den har set. Hvis du vil reagere på et fund, forbinder du det med automatisering, f.eks. EventBridge, der udløser afhjælpning. Det er vigtigt at forstå forskellen på registrering og forebyggelse, og den testes ofte grundigt.

GuardDuty understøtter en delegeret administrator, der administrerer registrering på tværs af en hel AWS-organisation. Én sikkerhedskonto kan aktivere GuardDuty for alle medlemskonti og se alle fund centralt. Det skalerer registreringen uden at konfigurere hver konto manuelt.

Da der hverken skal bruges agenter, servere eller logningsforløb, der skal bygges, har GuardDuty meget lave driftsomkostninger. Du betaler baseret på mængden af analyserede data. Denne model med lav friktion er grunden til, at det ofte er den første detektionstjeneste, en organisation aktiverer.

Fund fra Security Hub sendes naturligt til Security Hub for samling og til Detective for undersøgelse samt til EventBridge for reaktion. GuardDuty er detektionsmotoren i centrum af en større pipeline til håndtering af trusler, ikke et selvstændigt værktøj.

Du kan justere GuardDuty med lister over betroede IP-adresser (adresser, som du aldrig vil have markeret) og lister over trussels-IP-adresser (adresser, som du altid vil have markeret) samt regler for undertrykkelse, der arkiverer forventede fund. Denne justering reducerer støj, så analytikere kan fokusere på reelle trusler. Til eksamen skal du vide, at GuardDuty kan tilpasses et miljø og ikke er en fast sort boks.

Forveksl ikke GuardDuty med Amazon Inspector. GuardDuty overvåger aktivitet i realtid for at opdage aktive trusler og indtrængen. Inspector scanner efter sårbarheder, f.eks. software, der ikke er opdateret, og risikabel netværkstilgængelighed, før de udnyttes. Den ene er detektion af trusler under kørsel, den anden er sårbarhedsvurdering, og til eksamen bliver du ofte testet i, hvilken du skal vælge til et bestemt mål.

GuardDuty er agentløs, administreret detektion af trusler, som analyserer eksisterende AWS-telemetri med trusselsintelligens, anomalidetektion og maskinlæring. Tjenesten udsender alarmer via fund, men blokerer ikke; afhjælpning kræver automatisering. En delegeret administrator aktiverer den på tværs af en organisation, og dens fund sendes til Security Hub, Detective og EventBridge.