Cosa rileva GuardDuty e perché

Amazon GuardDuty è il servizio gestito di rilevamento delle minacce di AWS. La sua caratteristica distintiva è che non richiede agenti né software da distribuire. È sufficiente abilitarlo perché inizi ad analizzare la telemetria AWS alla ricerca di comportamenti dannosi o non autorizzati. Questo ne rende rapida l'implementazione in un intero account o un'organizzazione.

GuardDuty acquisisce e analizza continuamente fonti di dati già esistenti, quindi applica threat intelligence, rilevamento delle anomalie e machine learning per individuare attività sospette. Poiché legge log già prodotti da AWS, aggiunge funzionalità di rilevamento senza modificare i workload. Funziona interamente come servizio gestito.

GuardDuty analizza l'attività dell'account e della rete per rilevare minacce. Può individuare ricognizioni, istanze compromesse e comportamenti insoliti dell'account. Tra gli esempi: un'istanza che comunica con un IP noto per attività dannose, credenziali usate da una posizione insolita o un tentativo di disabilitare la registrazione degli eventi di sicurezza.

GuardDuty utilizza feed di threat intelligence di AWS e di terze parti, contenenti elenchi di indirizzi IP e domini noti per essere dannosi. Quando le vostre risorse comunicano con uno di questi, genera un finding. Potete anche fornire elenchi personalizzati di IP attendibili e dannosi per adattare il rilevamento al vostro ambiente.

Oltre agli elenchi di elementi dannosi noti, GuardDuty apprende il comportamento normale del vostro account e segnala le anomalie. Una chiamata API da un nuovo Paese, un picco insolito di attività o un ruolo usato in un modo mai visto prima possono generare finding. In questo modo rileva attacchi nuovi che nessuna blocklist conoscerebbe.

Un punto fondamentale: GuardDuty rileva e invia avvisi, ma non blocca. Produce finding che descrivono ciò che ha osservato. Per intervenire su un finding, dovete collegarlo a un'automazione, ad esempio EventBridge che attiva una remediation. Comprendere la distinzione tra rilevamento e prevenzione è essenziale, ed è spesso oggetto d'esame.

GuardDuty supporta un amministratore delegato che gestisce il rilevamento in un'intera AWS Organization. Un account di sicurezza può abilitare GuardDuty per ogni account membro e visualizzare centralmente tutti i finding. Questo permette di scalare il rilevamento senza configurare manualmente ogni account.

Poiché non sono necessari agent, server o pipeline di log da creare, GuardDuty ha un costo operativo molto basso. Il pagamento dipende dal volume di dati analizzati. Questo modello semplice da adottare è il motivo per cui spesso è il primo servizio di rilevamento che un'organizzazione abilita.

I risultati di GuardDuty confluiscono naturalmente in Security Hub per l'aggregazione, in Detective per l'analisi e in EventBridge per la risposta. GuardDuty è il motore di rilevamento al centro di una pipeline più ampia di risposta alle minacce, non uno strumento autonomo.

È possibile configurare GuardDuty con liste di IP attendibili (indirizzi che non si desidera mai segnalare) e liste di IP minacciosi (indirizzi che si desidera sempre segnalare), oltre a regole di soppressione per archiviare i risultati attesi. Questa configurazione riduce il rumore, consentendo agli analisti di concentrarsi sulle minacce reali. Nell'esame è importante sapere che GuardDuty può essere adattato all'ambiente e non è una scatola nera fissa.

Non confonda GuardDuty con Amazon Inspector. GuardDuty monitora l'attività in tempo reale per rilevare minacce e intrusioni attive. Inspector esegue scansioni alla ricerca di vulnerabilità, come software non aggiornato e raggiungibilità di rete rischiosa, prima che vengano sfruttate. Il primo rileva le minacce durante l'esecuzione, il secondo valuta le vulnerabilità; l'esame verifica spesso quale scegliere in base all'obiettivo.

Verifichi le Sue conoscenze fondamentali su GuardDuty.

GuardDuty è un servizio gestito e agentless di rilevamento delle minacce che analizza la telemetria AWS esistente mediante threat intelligence, rilevamento delle anomalie e machine learning. Genera avvisi tramite i risultati, ma non blocca le minacce; la correzione richiede l'automazione. Un amministratore delegato ne consente l'attivazione in tutta un'Organization e i risultati confluiscono in Security Hub, Detective ed EventBridge.