Ce que GuardDuty détecte et pourquoi

Amazon GuardDuty est le service géré de détection des menaces d’AWS. Sa caractéristique principale est qu’il ne nécessite aucun agent ni logiciel à déployer. Il vous suffit de l’activer pour qu’il commence à analyser les données de télémétrie AWS à la recherche de comportements malveillants ou non autorisés. Il peut ainsi être déployé rapidement dans un compte ou une organisation entière.

GuardDuty collecte et analyse en continu les sources de données existantes, puis applique des renseignements sur les menaces, la détection des anomalies et l’apprentissage automatique pour repérer les activités suspectes. Comme il lit les journaux déjà produits par AWS, il ajoute la détection sans modifier vos charges de travail. Il fonctionne entièrement comme un service géré.

GuardDuty analyse l’activité des comptes et du réseau pour détecter les menaces. Il peut repérer la reconnaissance, les instances compromises et les comportements inhabituels d’un compte. Par exemple : une instance qui communique avec une adresse IP malveillante connue, des informations d’identification utilisées depuis un lieu inhabituel ou une tentative de désactiver la journalisation de sécurité.

GuardDuty s’appuie sur des flux de renseignements sur les menaces provenant d’AWS et de tiers, qui recensent les adresses IP et les domaines connus comme malveillants. Lorsque vos ressources communiquent avec l’un d’eux, il génère un résultat. Vous pouvez également fournir vos propres listes d’adresses IP fiables et suspectes afin d’adapter la détection à votre environnement.

Au-delà des listes d’éléments malveillants connus, GuardDuty apprend le comportement habituel de votre compte et signale les anomalies. Un appel d’API depuis un nouveau pays, une hausse inhabituelle de l’activité ou un rôle utilisé d’une manière encore jamais observée peuvent tous déclencher des résultats. Cette approche détecte les attaques inédites qu’aucune liste de blocage ne pourrait connaître.

Un point essentiel : GuardDuty détecte et alerte ; il ne bloque pas. Il produit des résultats décrivant ce qu’il a observé. Pour agir sur un résultat, vous le reliez à une automatisation, par exemple EventBridge qui déclenche une correction. La distinction entre détection et prévention est très souvent évaluée.

GuardDuty prend en charge un administrateur délégué qui gère la détection dans toute une organisation AWS. Un compte de sécurité peut activer GuardDuty pour chaque compte membre et consulter tous les résultats depuis un point central. La détection passe ainsi à l’échelle sans configurer chaque compte manuellement.

Comme il n’y a ni agents, ni serveurs, ni chaînes de traitement des journaux à construire, GuardDuty entraîne une très faible charge d’exploitation. Vous payez en fonction du volume de données analysées. C’est pourquoi ce modèle simple à mettre en œuvre est souvent le premier service de détection activé par une organisation.

Les résultats de GuardDuty s’intègrent naturellement à Security Hub pour l’agrégation et à Detective pour l’investigation, ainsi qu’à EventBridge pour la réponse. GuardDuty est le moteur de détection au cœur d’un pipeline plus vaste de réponse aux menaces, et non un outil autonome.

Vous pouvez ajuster GuardDuty à l’aide de listes d’adresses IP approuvées (adresses que vous ne voulez jamais signaler) et de listes d’adresses IP menaces (adresses que vous voulez toujours signaler), ainsi que de règles d’exclusion pour archiver les résultats attendus. Cet ajustement réduit le bruit afin que les analystes se concentrent sur les menaces réelles. L’examen attend de vous que vous sachiez que GuardDuty peut être adapté à un environnement et n’est pas une boîte noire figée.

Ne confondez pas GuardDuty avec Amazon Inspector. GuardDuty surveille l’activité en direct afin de détecter les menaces et les intrusions actives. Inspector recherche les vulnérabilités, comme les logiciels non corrigés et une accessibilité réseau risquée, avant qu’elles ne soient exploitées. L’un détecte les menaces à l’exécution, l’autre évalue les vulnérabilités, et l’examen vérifie souvent lequel choisir selon l’objectif.

GuardDuty est un service géré et sans agent de détection des menaces qui analyse les données de télémétrie AWS existantes au moyen de renseignements sur les menaces, de la détection des anomalies et de l’apprentissage automatique. Il émet des alertes via des résultats, mais ne bloque pas les actions : la correction nécessite une automatisation. Un administrateur délégué l’active dans toute une organisation, et ses résultats alimentent Security Hub, Detective et EventBridge.