Hal yang Dideteksi GuardDuty dan Alasannya

Amazon GuardDuty adalah layanan deteksi ancaman terkelola milik AWS. Ciri utamanya adalah layanan ini memerlukan tidak ada agen dan tidak ada perangkat lunak untuk diterapkan. Anda cukup mengaktifkannya, lalu layanan ini mulai menganalisis telemetri AWS untuk mendeteksi perilaku berbahaya atau tidak sah. Hal ini membuatnya cepat diterapkan di seluruh akun atau organisasi.

GuardDuty terus-menerus menerima dan menganalisis sumber data yang sudah ada, lalu menerapkan intelijen ancaman, deteksi anomali, dan pembelajaran mesin untuk menemukan aktivitas mencurigakan. Karena membaca log yang sudah dihasilkan AWS, layanan ini menambahkan kemampuan deteksi tanpa mengubah beban kerja Anda. Semuanya berjalan sebagai layanan terkelola.

GuardDuty menganalisis aktivitas akun dan jaringan untuk mendeteksi ancaman. Layanan ini dapat menemukan pengintaian, instans yang disusupi, dan perilaku akun yang tidak biasa. Contohnya meliputi instans yang berkomunikasi dengan IP berbahaya yang telah diketahui, kredensial yang digunakan dari lokasi yang tidak biasa, atau upaya menonaktifkan pencatatan keamanan.

GuardDuty menggunakan umpan intelijen ancaman dari AWS dan pihak ketiga, yaitu daftar alamat IP dan domain yang diketahui berbahaya. Ketika sumber daya Anda berkomunikasi dengan salah satunya, GuardDuty menghasilkan temuan. Anda juga dapat menyediakan daftar IP tepercaya dan IP berbahaya milik sendiri untuk menyesuaikan deteksi dengan lingkungan Anda.

Selain daftar yang diketahui berbahaya, GuardDuty mempelajari perilaku normal akun Anda dan menandai anomali. Panggilan API dari negara baru, lonjakan aktivitas yang tidak biasa, atau peran yang digunakan dengan cara yang belum pernah terjadi sebelumnya semuanya dapat memicu temuan. Dengan demikian, serangan baru yang tidak diketahui oleh daftar pemblokiran pun dapat terdeteksi.

Poin penting: GuardDuty mendeteksi dan memberi peringatan; layanan ini tidak memblokir. GuardDuty menghasilkan temuan yang menjelaskan hal yang diamatinya. Untuk menindaklanjuti temuan, Anda menghubungkannya ke otomatisasi, misalnya EventBridge yang memicu perbaikan. Memahami perbedaan antara mendeteksi dan mencegah ini sangat sering diujikan.

GuardDuty mendukung administrator yang didelegasikan untuk mengelola deteksi di seluruh AWS Organization. Satu akun keamanan dapat mengaktifkan GuardDuty untuk setiap akun anggota dan melihat semua temuan secara terpusat. Dengan demikian, deteksi dapat diskalakan tanpa mengonfigurasi setiap akun satu per satu.

Karena tidak ada agen, server, atau alur log yang perlu dibangun, biaya operasional GuardDuty sangat rendah. Anda membayar berdasarkan volume data yang dianalisis. Model yang mudah diterapkan ini membuat GuardDuty sering menjadi layanan deteksi pertama yang diaktifkan organisasi.

Temuan GuardDuty mengalir secara alami ke Security Hub untuk penggabungan dan ke Detective untuk penyelidikan, serta ke EventBridge untuk respons. GuardDuty adalah mesin deteksi di pusat alur respons ancaman yang lebih besar, bukan alat yang berdiri sendiri.

Anda dapat menyesuaikan GuardDuty dengan daftar IP tepercaya (alamat yang tidak pernah ingin Anda tandai) dan daftar IP ancaman (alamat yang selalu ingin Anda tandai), serta aturan penekanan untuk mengarsipkan temuan yang diharapkan. Penyesuaian ini mengurangi gangguan sehingga analis dapat berfokus pada ancaman yang sebenarnya. Ujian mengharapkan Anda mengetahui bahwa GuardDuty dapat disesuaikan dengan suatu lingkungan, bukan kotak hitam yang tetap.

Jangan keliru membedakan GuardDuty dengan Amazon Inspector. GuardDuty mengawasi aktivitas langsung untuk mendeteksi ancaman dan penyusupan yang sedang berlangsung. Inspector memindai kerentanan, seperti perangkat lunak yang belum diperbarui dan keterjangkauan jaringan yang berisiko, sebelum kerentanan tersebut dieksploitasi. Yang satu adalah deteksi ancaman saat runtime, sedangkan yang lain adalah penilaian kerentanan, dan ujian sering menguji pilihan yang tepat untuk tujuan tertentu.

Uji pemahaman dasar Anda tentang GuardDuty.

GuardDuty adalah layanan deteksi ancaman terkelola tanpa agen yang menganalisis telemetri AWS yang sudah ada menggunakan intelijen ancaman, deteksi anomali, dan pembelajaran mesin. Layanan ini memberikan peringatan melalui temuan, tetapi tidak memblokir; pemulihan memerlukan otomatisasi. Administrator yang didelegasikan mengaktifkannya di seluruh Organisasi, dan temuannya mengalir ke Security Hub, Detective, dan EventBridge.