GuardDuty, Inspector und Macie

Eine mehrschichtige Sicherheitsstrategie erfordert nicht nur die Abwehr von Angriffen, sondern auch die Erkennung von Bedrohungen, die diese Abwehr überwinden. AWS stellt drei verwaltete Services zur Sicherheitserkennung bereit, die zusammenarbeiten: Amazon GuardDuty erkennt Bedrohungen, indem es das Verhalten von AWS-Konten und den Netzwerkverkehr analysiert. Amazon Inspector findet Softwareschwachstellen in Compute-Ressourcen. Amazon Macie entdeckt vertrauliche Daten (personenbezogene Daten und Finanzdaten) in S3 und warnt, wenn diese offengelegt werden. Alle drei Services sind vollständig verwaltet, verwenden maschinelles Lernen und lassen sich für eine zentrale Übersicht in AWS Security Hub integrieren.

Amazon GuardDuty ist ein Service zur kontinuierlichen Bedrohungserkennung, der VPC Flow Logs, DNS logs, CloudTrail management events und S3 data events mithilfe von maschinellem Lernen, Anomalieerkennung und integrierten Threat-Intelligence-Feeds (IP-Reputationslisten und bekannte bösartige Domains) analysiert. GuardDuty arbeitet agentenlos – Sie aktivieren den Service in Ihrem Konto, und er beginnt sofort mit der Analyse vorhandener Logs. Es muss keine Infrastruktur verwaltet werden, und es fallen keine Kosten für die Speicherung von Logs an (GuardDuty verwendet die Logs direkt aus AWS). Die Ergebnisse werden nach Bedrohungstyp kategorisiert, darunter UnauthorizedAccess, CryptoCurrency, Backdoor und Trojan.

GuardDuty klassifiziert Ergebnisse nach Bedrohungszweck, Ressourcentyp und Bedrohungsname. Häufige Ergebniskategorien sind: UnauthorizedAccess – API-Aufrufe von ungewöhnlichen Standorten oder Tor-Exit-Nodes. Recon – Port-Scans oder die Aufzählung von APIs. PrivilegeEscalation – Änderungen an IAM-Richtlinien, die auf eine Rechteausweitung hindeuten. Exfiltration – ungewöhnlich umfangreicher Datenabruf aus S3 oder RDS. CryptoCurrency – eine EC2-Instance kommuniziert mit bekannten Crypto-Mining-Pools. Stealth – CloudTrail-Logging oder S3-Zugriffslogging wurde deaktiviert. Jedes Ergebnis enthält eine betroffene Ressource, die IP-Adresse bzw. den Benutzer des Akteurs und eine empfohlene Maßnahme.

GuardDuty-Ergebnisse lassen sich in Amazon EventBridge integrieren, um automatisierte Reaktions-Workflows auszulösen. Ein häufiges Muster: GuardDuty erkennt eine kompromittierte EC2-Instance → eine EventBridge-Regel wird ausgelöst → eine Lambda-Funktion wird aufgerufen → Lambda isoliert die Instance (entfernt sie aus der ASG und weist ihr eine restriktive Security Group zu, die den gesamten Datenverkehr blockiert), erstellt Snapshots ihrer EBS-Volumes zur forensischen Untersuchung und benachrichtigt das Sicherheitsteam über SNS. Diese automatisierte Reaktion kann innerhalb weniger Sekunden nach der Erkennung erfolgen – deutlich schneller als eine manuell durchgeführte Reaktion.

Amazon Inspector erkennt und scannt Ihre Workloads automatisch auf Softwareschwachstellen und unbeabsichtigte Netzwerkexponierung. Inspector v2 (die aktuelle Version) unterstützt EC2-Instances (über den Systems Manager Agent), Amazon ECR-Container-Images (Scan beim Push) und AWS-Lambda-Funktionen (Paketabhängigkeiten). Der Service gleicht Ergebnisse mit CVE-Datenbanken (Common Vulnerabilities and Exposures) ab und weist Risikowerte zu. Inspector scannt Ressourcen kontinuierlich erneut, sobald neue Schwachstellen veröffentlicht werden – Sie müssen Scans nicht manuell auslösen.

Neben dem CVE-Scan analysiert Inspector die Netzwerkerreichbarkeit – also, welche EC2-Instances aufgrund der Konfiguration von Security Groups aus dem Internet erreichbar sind. Der Service ordnet Ihre VPC-Security-Groups, NACLs, Routing-Tabellen und Internet-Gateways zu, um zu bestimmen, welche Ports welcher Instances aus dem Internet erreichbar sind. Ein Ergebnis wie Port 22 (SSH) auf i-12345 ist aus dem Internet erreichbar weist auf eine falsch konfigurierte Security Group hin, die direkten SSH-Zugriff erlaubt – ein häufiges Sicherheitsrisiko. Diese Netzwerkanalyse läuft ohne Agents und verwendet Konfigurationsdaten der VPC.

Amazon Macie verwendet maschinelles Lernen und Musterabgleich, um vertrauliche Daten in Amazon S3 automatisch zu erkennen und zu schützen. Macie identifiziert personenbezogene Daten (PII) (Namen, Sozialversicherungsnummern, Kreditkartennummern und Reisepässe), Finanzdaten, Gesundheitsdaten und Anmeldeinformationen (Passwörter und API-Schlüssel). Außerdem erkennt der Service öffentliche S3-Buckets und unverschlüsselte Buckets. Macie erstellt Ergebnisse, die sich in Security Hub und EventBridge integrieren lassen, um bei der Erkennung oder Offenlegung vertraulicher Daten automatisch Abhilfemaßnahmen einzuleiten oder Warnungen auszugeben.

Macie ist besonders wertvoll für Compliance-Frameworks, die das Auffinden und Schützen vertraulicher Daten voraussetzen: GDPR (personenbezogene Daten aus der EU), HIPAA (Gesundheitsdaten) und PCI DSS (Zahlungskartendaten). Macie-Ergebnisse zeigen, welche S3-Objekte vertrauliche Daten enthalten, welcher Datentyp gefunden wurde und welche Zugriffskontrollen für den Bucket gelten. Verwenden Sie diese Informationen, um zu überprüfen, dass alle Buckets mit vertraulichen Daten verschlüsselt und privat sind und geeigneten Bucket-Richtlinien unterliegen. Macie ändert weder Daten noch den Bucket-Zugriff – der Service erkennt und meldet lediglich. Die Abhilfemaßnahmen führt das Sicherheitsteam durch.

AWS Security Hub bündelt Ergebnisse aus GuardDuty, Inspector, Macie, IAM Access Analyzer, Firewall Manager und Tools von Drittanbietern in einer einzigen Konsole. Der Service normalisiert die Ergebnisse in das AWS Security Finding Format (ASFF) und ermöglicht dadurch eine konsistente Verarbeitung und Analyse über verschiedene Quellen hinweg. Security Hub bewertet Ihre Umgebung außerdem anhand von Sicherheitsstandards wie CIS AWS Foundations, PCI DSS und NIST. Verwenden Sie Security Hub als zentrale Übersicht für Ihre Sicherheitslage und korrelieren Sie zusammengehörige Ergebnisse mehrerer Services, um den vollständigen Umfang eines Vorfalls zu verstehen.

In der SAA-C03-Prüfung wird getestet, ob Sie für eine bestimmte Sicherheitsanforderung den richtigen Erkennungsservice auswählen können. Die wichtigsten Unterschiede: GuardDuty – erkennt Bedrohungen zur Laufzeit und verdächtiges Verhalten (wer tut JETZT etwas Bösartiges). Inspector – findet bereits vorhandene Schwachstellen in Software und Netzwerkkonfigurationen (was ist mit meinen Ressourcen nicht in Ordnung). Macie – entdeckt vertrauliche Daten in S3 und bewertet das Risiko ihrer Offenlegung (wo befinden sich meine vertraulichen Daten und sind sie geschützt). Alle drei Services ergänzen sich und werden in Produktionsumgebungen typischerweise gemeinsam als Teil einer umfassenden Sicherheitsstrategie eingesetzt.

GuardDuty, Inspector und Macie manuell in jedem AWS-Konto zu aktivieren, ist bei vielen Konten nicht praktikabel. Die Integration mit AWS Organizations ermöglicht es Ihnen, ein delegiertes Administratorkonto (typischerweise ein Sicherheitskonto) zu bestimmen, das diese Services für alle Mitgliedskonten zentral aktiviert und verwaltet. Neue Konten, die der Organisation hinzugefügt werden, erhalten GuardDuty, Inspector und Macie automatisch. Die Ergebnisse aller Konten werden zur zentralen Prüfung im delegierten Administratorkonto zusammengeführt. Dies ist die empfohlene Architektur für die Sicherheits-Governance in Umgebungen mit mehreren Konten.

Testen Sie Ihr Verständnis der Konzepte aus dieser Lektion für AWS Solutions Architect (SAA-C03).

In dieser Lektion haben Sie gelernt: GuardDuty erkennt Bedrohungen zur Laufzeit durch ML-basierte Analysen von CloudTrail, VPC Flow Logs und DNS logs, Inspector scannt EC2, ECR und Lambda automatisch auf CVE-Schwachstellen und Probleme mit der Netzwerkerreichbarkeit und Macie entdeckt und schützt vertrauliche Daten in S3 durch das Scannen mit verwalteten Daten-Identifiers. Security Hub zentralisiert die Ergebnisse aller drei Services. Als Nächstes sehen wir uns Secrets Manager und Parameter Store an.