GuardDuty-Datenquellen und Finding-Typen

GuardDuty installiert keine Sensoren, sondern analysiert Protokolle, die AWS bereits erzeugt. Seine grundlegenden Datenquellen sind CloudTrail-Managementereignisse, VPC Flow Logs und DNS-Abfrageprotokolle. Aus diesen drei Datenströmen rekonstruiert GuardDuty Aktivitäten in Konten, Netzwerken und der Namensauflösung, um nach Bedrohungen zu suchen.

Durch das Lesen von CloudTrail-Managementereignissen erkennt GuardDuty die in Ihrem Konto ausgeführten API-Aufrufe. Dadurch kann es Identitätsbedrohungen erkennen, etwa ungewöhnliche API-Aktivitäten, die Verwendung von Anmeldedaten von einem ungewöhnlichen Standort oder Versuche, die Protokollierung zu deaktivieren. Optional analysiert es auch CloudTrail-S3-Datenereignisse.

Anhand der VPC Flow Logs beobachtet GuardDuty Netzwerkverbindungen, einschließlich der Kommunikation mit bekannten schädlichen IP-Adressen. Dies geschieht auch dann, wenn Sie Flow Logs nicht selbst aktiviert haben, da GuardDuty die zugrunde liegenden Netzwerkdaten unabhängig liest. So werden Instances erkannt, die Verbindungen zu Command-and-Control-Servern aufbauen.

GuardDuty untersucht DNS-Abfrageprotokolle, um verdächtige Domainabfragen zu erkennen, etwa Abfragen an Malware-Domains oder Hinweise auf Datenexfiltration über DNS. Dies funktioniert für Instances, die den standardmäßigen AWS-DNS-Resolver verwenden. Ungewöhnliche DNS-Muster sind ein starker Hinweis auf eine Kompromittierung.

Zusätzlich zu den grundlegenden Datenquellen bietet GuardDuty optionale Schutzpläne: S3 Protection, EKS (Kubernetes) Protection, Malware Protection, RDS Protection und Lambda Protection. Jeder Plan erweitert die Erkennung auf einen bestimmten Service und analysiert dessen Aktivitäten auf für die jeweilige Workload relevante Bedrohungen.

GuardDuty-Funde werden nach ihrem Inhalt in Kategorien eingeteilt. Funde der Kategorie Reconnaissance weisen auf Sondierungs- und Scanaktivitäten hin. Funde der Kategorie Instance compromise zeigen, dass sich eine Workload bösartig verhält. Funde der Kategorie Account compromise weisen auf eine verdächtige Verwendung von Anmeldedaten oder Konfigurationsänderungen hin.

Jeder Fund besitzt einen strukturierten type wie Recon:EC2/PortProbeUnprotectedPort oder UnauthorizedAccess:IAMUser/MaliciousIPCaller. Das Format lautet ThreatPurpose:ResourceType/ThreatName. Wenn Sie den Wert entschlüsseln, erkennen Sie die Absicht, die betroffene Ressource und das konkret erkannte Verhalten.

Der Ressourcentyp in einem Fund (EC2, IAMUser, S3Bucket, Kubernetes) zeigt, was betroffen ist. Die Bedrohungsabsicht (Recon, UnauthorizedAccess, CryptoCurrency, Trojan, Backdoor) zeigt das wahrscheinliche Ziel des Angreifers. Zusammen ermöglichen diese Angaben eine schnelle Triage.

Zu den häufigen Funden gehören Crypto-Mining auf einer kompromittierten Instance, die missbräuchliche Verwendung eines offengelegten Access Keys, Port-Scanning und die Verbindung eines Tor-Exit-Nodes mit Ihren Ressourcen. Wenn Sie diese typischen Fundtypen erkennen, können Sie angemessen reagieren, statt jeden Fund gleich zu behandeln.

Der Plan Malware Protection kann die EBS-Volumes einer Instance scannen, die durch einen Fund markiert wurde, und dabei nach Malware suchen, ohne dass Sie etwas installieren müssen. Er erzeugt eigene Malware-Funde, um einen Verdacht zu bestätigen oder zu erhärten. Dieses agentenlose Scanning ist eine nützliche Ergänzung, wenn ein grundlegender Fund darauf hindeutet, dass eine Instance infiziert sein könnte.

Ein häufig geprüfter Punkt: GuardDuty liest seine grundlegenden Quellen unabhängig. Sie müssen CloudTrail, Flow Logs oder DNS-Protokollierung nicht selbst aktivieren, damit GuardDuty diese Aktivitäten analysieren kann. Dies hat auch keine Auswirkungen auf Ihre eigenen Kopien dieser Protokolle und verursacht dafür keine zusätzlichen Gebühren. Deshalb kann GuardDuty unmittelbar nach der Aktivierung mit der Erkennung beginnen.

Ordnen Sie Bedrohungen den Datenquellen zu.

Die grundlegenden Datenquellen von GuardDuty sind CloudTrail (Identitäts- und API-Aktivitäten), VPC Flow Logs (Netzwerkverbindungen) und DNS-Protokolle (verdächtige Abfragen) sowie optionale Schutzpläne für S3, EKS, RDS, Lambda und Malware. Funde verwenden das Format ThreatPurpose:ResourceType/ThreatName, sodass Sie sie anhand der Absicht und der betroffenen Ressource priorisieren können.