GuardDuty-löydösten lukeminen ja priorisointi

Kiireinen tili voi tuottaa paljon havaintoja, eivätkä kaikki ole yhtä tärkeitä. Jotta voitte reagoida tehokkaasti, teidän on priorisoitava havainnot ja keskityttävä ensin uhkiin, jotka todennäköisimmin aiheuttavat todellista haittaa. GuardDuty tukee tätä vakavuuspisteillä ja yksityiskohtaisilla havainnoilla, jotka auttavat päättämään, mistä aloitetaan.

Jokaisella GuardDuty-havainnolla on vakavuusarvo, joka on vähintään 0,1 ja ulottuu arvoon 8,9 tai sen yli, sekä sitä vastaava taso. Karkeasti 1,0–3,9 on Low, 4,0–6,9 on Medium ja 7,0–8,9 on High. Suurempi luku tarkoittaa suurempaa varmuutta ja mahdollista vaikutusta, joten havainto käsitellään kiireellisemmin.

High-vakavuustason havainto viittaa siihen, että resurssi on todennäköisesti vaarantunut ja toimii haitallisesti, joten se edellyttää kiireellisiä toimia. Medium viittaa tutkimisen arvoiseen epäilyttävään toimintaan. Low kuvastaa usein tiedustelua tai epätavallista mutta vielä haitatonta toimintaa. Vakavuus ohjaa kiireellisyyttä, ei tietoturvaloukkauksen varmuutta.

Jokainen havainto sisältää tiedot kohteena olevasta resurssista, toimijasta (kuten etä-IP-osoitteesta ja sen maantieteellisestä sijainnista), havaitusta toiminnasta ja tapahtumiskertojen määrästä. Näiden kenttien lukeminen muuttaa yksirivisen hälytyksen tapahtumakuvaukseksi: kuka teki mitä, mille resurssille, mistä ja kuinka usein.

Havainnot sisältävät ensimmäisen ja viimeisen havaintoajan sekä lukumäärän. Tuntien ajan toistuva havainto on vakavampi kuin yksittäinen hetkellinen poikkeama. Aikatiedot auttavat arvioimaan, onko hyökkäys käynnissä, mikä vaikuttaa olennaisesti siihen, kuinka nopeasti se on rajoitettava.

Uhan tarkoitus määrittää reagointitavan. Instanssia koskeva CryptoCurrency-havainto tarkoittaa todennäköisesti louhintaa ja edellyttää eristämistä. IAM-käyttäjää koskeva UnauthorizedAccess-havainto tarkoittaa, että tunnistetiedot voivat olla varastettuja ja avaimet on vaihdettava. Reagoinnin sovittaminen tarkoitukseen on priorisoinnin ydin.

Voitte luoda estämissääntöjä, jotka arkistoivat automaattisesti tunnettua ja odotettua toimintaa vastaavat havainnot, kuten tarkoituksella suorittamanne haavoittuvuusskannerin toiminnan. Näin jono keskittyy todellisiin signaaleihin. Estetyt havainnot säilyvät auditointia varten, mutta eivät häiritse reagoijia.

GuardDuty voi tuottaa esimerkkihavaintoja, joiden avulla voitte harjoitella priorisointia ja testata automaatiota ilman todellista hyökkäystä. Näin tiimit voivat rakentaa ja validoida reagointiohjeita turvallisesti. Ominaisuuden tunteminen on hyödyllistä tunnistuksesta reagointiin ulottuvien putkien määrittämisessä.

Priorisoidut havainnot siirtyvät reagointiprosessiin: korkean vakavuuden instanssin vaarantuminen voi käynnistää automaattisen eristämisen, kun taas keskitason identiteettihavainto voi lähettää ilmoituksen analyytikolle. Vakavuus ja tyyppi yhdessä määrittävät, käsitelläänkö tilanne automaattisesti vai ihmisen toimesta ja kuinka nopeasti.

GuardDuty yhdistää saman havainnon toistuvat esiintymät yhdeksi havainnoksi ja päivittää sen lukumäärän sekä viimeisen havaintoajan sen sijaan, että loisi suuren määrän kaksoiskappaleita. Voitte myös määrittää, kuinka usein päivitetyt havainnot julkaistaan EventBridgeen ja S3:een. Näin jono pysyy luettavana ja osoittaa silti hyökkäyksen olevan käynnissä.

Oletusarvoisesti GuardDuty-havaintoja säilytetään 90 päivää. Jos haluatte säilyttää niitä pidempään auditointia tai trendianalyysiä varten, viettte havainnot S3-säilöön ja määritätte, kuinka usein uudet havainnot viedään. Havaintojen lähettäminen Security Hubiin ja EventBridgeen säilyttää ne ja mahdollistaa niiden perusteella toimimisen. Havaintojen säilytys- ja vientitapojen tunteminen on tärkeää vaatimustenmukaisuusskenaarioissa.

GuardDuty määrittää jokaiselle havainnolle vakavuuden (karkeasti Low 1–3,9, Medium 4–6,9, High 7–8,9) sekä tiedot resurssista, toimijasta, toiminnasta, maantieteellisestä sijainnista ja ajoituksesta. Priorisoikaa havainnot vakavuuden ja vaikutuksen perusteella, käyttäkää uhan tarkoitusta reagointitavan valintaan ja käyttäkää estämissääntöjä tunnetun harmittoman kohinan hiljentämiseen. Esimerkkihavaintojen avulla voitte harjoitella priorisointia turvallisesti.