Sources de données et types de résultats de GuardDuty

GuardDuty n’installe pas de capteurs : il analyse les journaux qu’AWS génère déjà. Ses sources de données fondamentales sont les événements de gestion CloudTrail, les journaux de flux VPC et les journaux de requêtes DNS. À partir de ces trois flux, il reconstitue l’activité des comptes, du réseau et de la résolution de noms afin de rechercher les menaces.

En lisant les événements de gestion de CloudTrail, GuardDuty voit les appels d’API effectués dans votre compte. Il peut ainsi détecter des menaces liées aux identités, comme une activité d’API inhabituelle, l’utilisation d’identifiants depuis un emplacement étrange ou des tentatives de désactivation de la journalisation. Il analyse également les événements de données S3 de CloudTrail comme source facultative.

À partir des journaux de flux VPC, GuardDuty observe les connexions réseau, notamment les communications avec des adresses IP malveillantes connues. Il le fait même si vous n’avez pas activé vous-même les journaux de flux, car il lit indépendamment les données réseau sous-jacentes. Cela permet de détecter les instances qui communiquent avec des serveurs de commande et de contrôle.

GuardDuty examine les journaux de requêtes DNS pour repérer les recherches de domaines suspectes, comme les requêtes vers des domaines associés à des logiciels malveillants ou les signes d’une exfiltration de données via DNS. Cela fonctionne pour les instances qui utilisent le résolveur DNS AWS par défaut. Des schémas DNS inhabituels sont un indicateur fort de compromission.

En plus des sources fondamentales, GuardDuty propose des plans de protection complémentaires : protection S3, protection EKS (Kubernetes), protection contre les logiciels malveillants, protection RDS et protection Lambda. Chacun étend la détection à un service précis en analysant son activité à la recherche de menaces pertinentes pour cette charge de travail.

Les résultats GuardDuty sont regroupés en catégories selon ce qu’ils décrivent. Les résultats de reconnaissance montrent des sondages et des analyses. Les résultats de compromission d’instance montrent qu’une charge de travail se comporte de manière malveillante. Les résultats de compromission de compte montrent une utilisation suspecte d’identifiants ou des changements de configuration.

Chaque résultat possède un type structuré tel que Recon:EC2/PortProbeUnprotectedPort ou UnauthorizedAccess:IAMUser/MaliciousIPCaller. Le format est ThreatPurpose:ResourceType/ThreatName. Son décodage vous indique l’intention, la ressource affectée et le comportement précis détecté.

Le type de ressource d’un résultat (EC2, IAMUser, S3Bucket, Kubernetes) vous indique ce qui a été affecté. L’objectif de la menace (Recon, UnauthorizedAccess, CryptoCurrency, Trojan, Backdoor) indique le but probable de l’attaquant. Ensemble, ces informations vous permettent d’effectuer rapidement le triage.

Parmi les résultats courants figurent le minage de cryptomonnaie sur une instance compromise, l’utilisation malveillante d’une clé d’accès exposée, l’analyse des ports et la connexion d’un nœud de sortie Tor à vos ressources. Reconnaître ces types courants vous aide à réagir de manière appropriée au lieu de traiter tous les résultats de la même façon.

Le plan de protection contre les logiciels malveillants peut analyser les volumes EBS d’une instance signalée par un résultat afin de rechercher des logiciels malveillants, sans que vous ayez à installer quoi que ce soit. Il produit ses propres résultats concernant les logiciels malveillants pour confirmer ou renforcer un soupçon. Cette analyse sans agent est un complément utile lorsqu’un résultat provenant d’une source fondamentale suggère qu’une instance pourrait être infectée.

Un point fréquemment évalué : GuardDuty lit indépendamment ses sources fondamentales. Vous n’avez pas besoin d’activer vous-même CloudTrail, les journaux de flux ou la journalisation DNS pour que GuardDuty analyse cette activité, et cela n’a aucune incidence sur vos propres copies de ces journaux ni sur leur facturation. C’est pourquoi GuardDuty peut commencer à détecter les menaces dès qu’il est activé.

Associez les menaces aux sources de données.

Les sources de données fondamentales de GuardDuty sont CloudTrail (activité des identités et des API), les journaux de flux VPC (connexions réseau) et les journaux DNS (recherches suspectes), auxquels s’ajoutent des plans de protection facultatifs pour S3, EKS, RDS, Lambda et les logiciels malveillants. Les résultats utilisent le format ThreatPurpose:ResourceType/ThreatName, ce qui vous permet d’effectuer le triage selon l’intention et la ressource affectée.