Was GuardDuty erkennt und warum

Amazon GuardDuty ist der verwaltete Dienst von AWS zur Erkennung von Bedrohungen. Sein entscheidendes Merkmal: Es benötigt keine Agents und keine bereitzustellende Software. Sie aktivieren es einfach, und es beginnt, AWS-Telemetriedaten auf bösartiges oder unbefugtes Verhalten zu analysieren. Dadurch lässt es sich schnell für ein gesamtes Konto oder eine Organisation einführen.

GuardDuty übernimmt und analysiert kontinuierlich bereits vorhandene Datenquellen. Anschließend nutzt es Bedrohungsdaten, Anomalieerkennung und maschinelles Lernen, um verdächtige Aktivitäten zu erkennen. Da es von AWS bereits erzeugte Protokolle liest, ermöglicht es Erkennung, ohne Ihre Workloads zu verändern. Es läuft vollständig als verwalteter Dienst.

GuardDuty analysiert Konto- und Netzwerkaktivitäten, um Bedrohungen zu erkennen. Es kann Aufklärungsaktivitäten, kompromittierte Instanzen und ungewöhnliches Kontoverhalten erkennen. Beispiele sind eine Instanz, die mit einer bekannten bösartigen IP-Adresse kommuniziert, die Verwendung von Anmeldedaten von einem ungewöhnlichen Ort oder der Versuch, die Sicherheitsprotokollierung zu deaktivieren.

GuardDuty nutzt Bedrohungsdaten-Feeds von AWS und Drittanbietern – Listen bekanntermaßen bösartiger IP-Adressen und Domänen. Wenn Ihre Ressourcen mit einem dieser Ziele kommunizieren, erzeugt GuardDuty ein Finding. Sie können außerdem eigene Listen vertrauenswürdiger und bedrohlicher IP-Adressen bereitstellen, um die Erkennung an Ihre Umgebung anzupassen.

Neben bekannten schädlichen Listen lernt GuardDuty das normale Verhalten Ihres Kontos und markiert Anomalien. Ein API-Aufruf aus einem neuen Land, ein ungewöhnlicher Aktivitätsanstieg oder die erstmalige ungewöhnliche Verwendung einer Rolle können Findings auslösen. So werden neuartige Angriffe erkannt, die keine Sperrliste kennen würde.

Ein entscheidender Punkt: GuardDuty erkennt und warnt, blockiert aber nicht. Es erzeugt Findings, die beschreiben, was beobachtet wurde. Um auf ein Finding zu reagieren, verbinden Sie es mit einer Automatisierung, etwa EventBridge, das eine Behebung auslöst. Dieser Unterschied zwischen Erkennen und Verhindern wird häufig geprüft.

GuardDuty unterstützt einen delegierten Administrator, der die Erkennung in einer gesamten AWS Organization verwaltet. Ein Sicherheitskonto kann GuardDuty für jedes Mitgliedskonto aktivieren und alle Findings zentral anzeigen. So lässt sich die Erkennung skalieren, ohne jedes Konto einzeln zu konfigurieren.

Da weder Agents noch Server oder aufzubauende Protokollpipelines erforderlich sind, verursacht GuardDuty nur einen sehr geringen Betriebsaufwand. Sie zahlen abhängig vom Umfang der analysierten Daten. Dieses unkomplizierte Modell ist der Grund, warum Organisationen häufig zunächst diesen Erkennungsdienst aktivieren.

GuardDuty-Funde lassen sich nahtlos in Security Hub zur Aggregation und in Detective zur Untersuchung sowie in EventBridge zur Reaktion integrieren. GuardDuty ist die Erkennungs-Engine im Zentrum einer größeren Pipeline zur Reaktion auf Bedrohungen und kein eigenständiges Tool.

Sie können GuardDuty mit vertrauenswürdigen IP-Listen (Adressen, die niemals als Bedrohung markiert werden sollen) und Bedrohungs-IP-Listen (Adressen, die immer als Bedrohung markiert werden sollen) sowie mit Unterdrückungsregeln anpassen, um erwartete Funde zu archivieren. Diese Anpassungen reduzieren das Rauschen, sodass sich Analysten auf echte Bedrohungen konzentrieren können. Für die Prüfung müssen Sie wissen, dass GuardDuty an eine Umgebung angepasst werden kann und keine unveränderliche Blackbox ist.

Verwechseln Sie GuardDuty nicht mit Amazon Inspector. GuardDuty überwacht laufende Aktivitäten, um aktive Bedrohungen und Eindringversuche zu erkennen. Inspector sucht nach Schwachstellen wie nicht gepatchter Software und riskanter Netzwerkerreichbarkeit, bevor diese ausgenutzt werden. Das eine ist die Erkennung von Bedrohungen zur Laufzeit, das andere eine Schwachstellenbewertung. In der Prüfung wird häufig abgefragt, welches der beiden Tools für ein bestimmtes Ziel verwendet werden sollte.

Testen Sie Ihre Grundlagen zu GuardDuty.

GuardDuty ist eine agentenlose, verwaltete Lösung zur Erkennung von Bedrohungen. Sie analysiert vorhandene AWS-Telemetriedaten mithilfe von Threat Intelligence, Anomalieerkennung und maschinellem Lernen. GuardDuty meldet über Funde, blockiert aber nicht; für die Behebung sind Automatisierungen erforderlich. Ein delegierter Administrator aktiviert GuardDuty in einer Organization, und die Funde werden an Security Hub, Detective und EventBridge weitergeleitet.