Lire et hiérarchiser les résultats de GuardDuty

Un compte très actif peut générer de nombreux résultats, qui n’ont pas tous la même importance. Pour réagir efficacement, vous devez établir des priorités en vous concentrant d’abord sur les menaces les plus susceptibles de causer un réel préjudice. GuardDuty vous aide grâce à des scores de gravité et à des informations détaillées sur les résultats, qui indiquent où regarder en premier.

Chaque résultat GuardDuty possède une valeur de gravité comprise entre 0,1 et 8,9 ou plus, associée à un niveau. En gros, une valeur de 1,0 à 3,9 correspond à une gravité faible, de 4,0 à 6,9 à une gravité moyenne, et de 7,0 à 8,9 à une gravité élevée. Des valeurs plus élevées indiquent une confiance et un impact potentiel plus importants : ces résultats passent donc en tête de file.

Un résultat de gravité élevée suggère qu’une ressource est probablement compromise et agit de manière malveillante, ce qui exige une intervention urgente. Une gravité moyenne indique une activité suspecte qui mérite une investigation. Une gravité faible correspond souvent à de la reconnaissance ou à un comportement inhabituel, mais pas encore nuisible. La gravité indique le degré d’urgence, et non la certitude d’une compromission.

Chaque résultat inclut la ressource affectée, l’auteur de l’action (par exemple une adresse IP distante et sa géolocalisation), l’action observée et le nombre de fois où elle s’est produite. La lecture de ces champs transforme une alerte d’une ligne en récit : qui a fait quoi, sur quelle ressource, depuis où et à quelle fréquence.

Les résultats enregistrent les horodatages de première et de dernière détection, ainsi qu’un compteur. Un résultat qui se répète pendant plusieurs heures est plus grave qu’un événement isolé. Ces informations temporelles vous aident à déterminer si une attaque est toujours en cours, ce qui influence fortement la rapidité avec laquelle vous devez la contenir.

L’objectif de la menace détermine votre réponse. Un résultat CryptoCurrency sur une instance indique probablement une activité de minage et justifie son isolement. Un résultat UnauthorizedAccess concernant un utilisateur IAM signifie qu’un identifiant a peut-être été volé et justifie la rotation des clés. Adapter la réponse à l’objectif constitue le cœur du triage.

Vous pouvez créer des règles d’exclusion pour archiver automatiquement les résultats correspondant à un comportement connu et attendu, comme celui d’un analyseur de vulnérabilités que vous exécutez volontairement. La file reste ainsi centrée sur les véritables signaux. Les résultats exclus existent toujours pour l’audit, mais ne distraient pas les intervenants.

GuardDuty peut générer des résultats d’exemple afin que vous puissiez vous exercer au triage et tester votre automatisation sans attaque réelle. Les équipes peuvent ainsi créer et valider leurs procédures de réponse en toute sécurité. Il est utile de connaître cette fonctionnalité pour configurer des pipelines de détection et de réponse.

Les résultats classés par priorité alimentent un processus de réponse : une compromission d’instance de gravité élevée peut déclencher un isolement automatique, tandis qu’un résultat de gravité moyenne lié à une identité peut envoyer une alerte à un analyste. La gravité et le type déterminent ensemble si l’automatisation ou une personne doit traiter le résultat, ainsi que la rapidité nécessaire.

GuardDuty agrège les occurrences répétées d’un même résultat en un seul résultat et met à jour son compteur et son heure de dernière détection, au lieu de créer un flot de doublons. Vous pouvez également configurer la fréquence de publication des résultats mis à jour vers EventBridge et S3. La file reste ainsi lisible tout en indiquant qu’une attaque est toujours en cours.

Par défaut, les résultats GuardDuty sont conservés pendant 90 jours. Pour les conserver plus longtemps à des fins d’audit ou d’analyse des tendances, vous exportez les résultats vers un compartiment S3 et configurez la fréquence d’exportation des nouveaux résultats. L’envoi des résultats vers Security Hub et EventBridge permet également de les conserver et d’agir dessus. Il est important de savoir comment les résultats sont conservés et exportés dans les scénarios de conformité.

Établissez les priorités des résultats selon leur gravité.

GuardDuty attribue à chaque résultat une gravité (environ faible : 1 à 3,9, moyenne : 4 à 6,9, élevée : 7 à 8,9), ainsi que des informations sur la ressource, l’auteur de l’action, l’action, la géolocalisation et le moment. Établissez les priorités selon la gravité et l’impact, utilisez l’objectif de la menace pour choisir une réponse et appliquez des règles d’exclusion afin de réduire le bruit connu comme inoffensif. Les résultats d’exemple vous permettent de répéter le triage en toute sécurité.