Membaca dan Mengutamakan Penemuan GuardDuty

Akaun yang sibuk boleh menjana banyak penemuan dan tidak semuanya sama penting. Untuk bertindak balas dengan baik, anda mesti menetapkan keutamaan dengan menumpukan perhatian terlebih dahulu pada ancaman yang paling berkemungkinan menyebabkan kemudaratan sebenar. GuardDuty menyokong perkara ini dengan skor keterukan dan butiran penemuan yang lengkap untuk membimbing perkara yang perlu diperiksa dahulu.

Setiap penemuan GuardDuty mempunyai nilai keterukan daripada 0.1 hingga 8.9 dan ke atas, yang dipetakan kepada tahap. Secara kasar, 1.0 hingga 3.9 ialah Rendah, 4.0 hingga 6.9 ialah Sederhana dan 7.0 hingga 8.9 ialah Tinggi. Nombor yang lebih tinggi bermaksud keyakinan dan potensi kesan yang lebih besar, maka penemuan tersebut diberi keutamaan.

Penemuan berketerukan Tinggi menunjukkan bahawa sesuatu sumber berkemungkinan telah terjejas dan bertindak secara berniat jahat, lalu memerlukan tindakan segera. Sederhana menunjukkan aktiviti mencurigakan yang wajar disiasat. Rendah sering mencerminkan peninjauan atau tingkah laku luar biasa yang belum berbahaya. Keterukan membimbing keutamaan tindakan, bukan kepastian bahawa pelanggaran telah berlaku.

Setiap penemuan merangkumi sumber yang terjejas, pelaku (seperti IP jauh dan geolokasinya), tindakan yang diperhatikan serta bilangan kali tindakan itu berlaku. Membaca medan ini mengubah amaran satu baris menjadi sebuah cerita: siapa melakukan apa, terhadap sumber mana, dari mana dan berapa kerap.

Penemuan menjejaki cap masa kali pertama dan terakhir dilihat serta kiraan. Penemuan yang berlaku berulang kali selama beberapa jam lebih serius daripada satu kejadian singkat. Perincian masa ini membantu anda menilai sama ada serangan masih berterusan, yang sangat mempengaruhi kelajuan anda perlu menanganinya.

Tujuan ancaman membentuk tindak balas anda. Penemuan CryptoCurrency pada tika bermaksud kemungkinan berlaku perlombongan dan wajar diasingkan. Penemuan UnauthorizedAccess pada pengguna IAM bermaksud kelayakan mungkin telah dicuri dan wajar dilakukan penggiliran kunci. Memadankan tindak balas dengan tujuan ialah inti pati triage.

Anda boleh mencipta peraturan penindasan untuk mengarkibkan secara automatik penemuan yang sepadan dengan tingkah laku yang diketahui dan dijangka, seperti pengimbas kerentanan yang anda jalankan dengan sengaja. Ini memastikan baris gilir tertumpu pada isyarat sebenar. Penemuan yang ditindas masih wujud untuk tujuan audit tetapi tidak mengganggu pasukan tindak balas.

GuardDuty boleh menjana contoh penemuan supaya anda boleh berlatih melakukan triage dan menguji automasi tanpa serangan sebenar. Ini membolehkan pasukan membina dan mengesahkan panduan tindak balas dengan selamat. Mengetahui kewujudan ciri ini berguna untuk menyediakan saluran paip daripada pengesanan kepada tindak balas.

Penemuan yang telah diberi keutamaan mengalir ke dalam proses tindak balas: pengompromian tika berketerukan tinggi mungkin mencetuskan pengasingan automatik, manakala penemuan identiti berketerukan sederhana mungkin menghantar pemberitahuan kepada penganalisis. Keterukan dan jenis secara bersama menentukan sama ada automasi atau manusia mengendalikannya serta seberapa cepat tindakan diambil.

GuardDuty mengagregat kejadian berulang bagi penemuan yang sama menjadi satu penemuan dan mengemas kini bilangannya serta masa terakhir dilihat, bukannya mencipta limpahan pendua. Anda juga boleh mengkonfigurasi kekerapan penemuan yang dikemas kini diterbitkan ke EventBridge dan S3. Ini memastikan baris gilir mudah dibaca sambil tetap menunjukkan bahawa serangan masih berterusan.

Secara lalai, penemuan GuardDuty dikekalkan selama 90 hari. Untuk menyimpannya lebih lama bagi tujuan audit atau analisis trend, anda mengeksport penemuan ke dalam baldi S3 dan mengkonfigurasi kekerapan penemuan baharu dieksport. Menghantar penemuan seterusnya ke Security Hub dan EventBridge juga mengekalkan serta mengambil tindakan terhadapnya. Mengetahui cara penemuan dikekalkan dan dieksport penting untuk senario pematuhan.

GuardDuty menetapkan keterukan kepada setiap penemuan (secara kasar Rendah 1–3.9, Sederhana 4–6.9, Tinggi 7–8.9), bersama butiran tentang sumber, pelaku, tindakan, geolokasi dan masa. Tetapkan keutamaan berdasarkan keterukan dan kesan, gunakan tujuan ancaman untuk memilih tindak balas dan gunakan peraturan penindasan untuk menyenyapkan hingar yang diketahui tidak berbahaya. Contoh penemuan membolehkan anda berlatih melakukan triage dengan selamat.