Perkara yang Dikesan GuardDuty dan Sebabnya

Amazon GuardDuty ialah perkhidmatan pengesanan ancaman terurus AWS. Ciri utamanya ialah ia memerlukan tiada ejen dan tiada perisian untuk digunakan. Anda hanya perlu mengaktifkannya, lalu ia mula menganalisis telemetri AWS untuk mengesan tingkah laku berniat jahat atau tanpa kebenaran. Hal ini menjadikannya pantas untuk dilancarkan merentasi seluruh akaun atau organisasi.

GuardDuty terus menerima dan menganalisis sumber data sedia ada, kemudian menggunakan risikan ancaman, pengesanan anomali dan pembelajaran mesin untuk mengenal pasti aktiviti mencurigakan. Oleh sebab ia membaca log yang telah dihasilkan oleh AWS, pengesanan boleh ditambah tanpa mengubah beban kerja anda. Ia berjalan sepenuhnya sebagai perkhidmatan terurus.

GuardDuty menganalisis aktiviti akaun dan rangkaian untuk mengesan ancaman. Ia boleh mengenal pasti peninjauan, tika yang telah terjejas dan tingkah laku akaun yang luar biasa. Contohnya termasuk tika yang berkomunikasi dengan IP berniat jahat yang diketahui, kelayakan yang digunakan dari lokasi luar biasa, atau cubaan untuk melumpuhkan pengelogan keselamatan.

GuardDuty menggunakan suapan risikan ancaman daripada AWS dan pihak ketiga, iaitu senarai alamat IP dan domain yang diketahui berbahaya. Apabila sumber anda berkomunikasi dengan salah satu daripadanya, GuardDuty menghasilkan penemuan. Anda juga boleh membekalkan senarai IP dipercayai dan IP ancaman anda sendiri untuk menyesuaikan pengesanan dengan persekitaran anda.

Selain senarai perkara yang diketahui berbahaya, GuardDuty mempelajari tingkah laku normal akaun anda dan menandakan anomali. Panggilan API dari negara baharu, peningkatan aktiviti yang luar biasa atau peranan yang digunakan dengan cara yang belum pernah berlaku sebelum ini semuanya boleh mencetuskan penemuan. Ini dapat mengesan serangan baharu yang tidak diketahui oleh mana-mana senarai sekatan.

Perkara penting: GuardDuty mengesan dan memberi amaran; ia tidak menyekat. GuardDuty menghasilkan penemuan yang menerangkan perkara yang dilihatnya. Untuk bertindak berdasarkan penemuan, anda menyambungkannya kepada automasi, seperti EventBridge yang mencetuskan pemulihan. Memahami perbezaan antara mengesan dan mencegah ini amat kerap diuji.

GuardDuty menyokong pentadbir yang diwakilkan untuk mengurus pengesanan merentasi seluruh Organisasi AWS. Satu akaun keselamatan boleh mengaktifkan GuardDuty untuk setiap akaun ahli dan melihat semua penemuan secara berpusat. Pengesanan dapat diskalakan tanpa mengkonfigurasi setiap akaun secara manual.

Oleh sebab tiada ejen, pelayan atau saluran pengelogan yang perlu dibina, kos operasi GuardDuty sangat rendah. Anda membayar berdasarkan jumlah data yang dianalisis. Model yang mudah ini menjadikannya perkhidmatan pengesanan pertama yang sering diaktifkan oleh organisasi.

Penemuan GuardDuty disalurkan secara semula jadi ke dalam Security Hub untuk pengagregatan, ke Detective untuk penyiasatan, dan ke EventBridge untuk tindak balas. GuardDuty ialah enjin pengesanan di tengah-tengah saluran paip tindak balas ancaman yang lebih besar, bukannya alat kendiri.

Anda boleh melaraskan GuardDuty dengan senarai IP dipercayai (alamat yang anda tidak mahu ditandai sebagai ancaman) dan senarai IP ancaman (alamat yang anda sentiasa mahu ditandai), serta peraturan penindasan untuk mengarkibkan penemuan yang dijangka. Pelarasan ini mengurangkan hingar supaya penganalisis dapat menumpukan perhatian pada ancaman sebenar. Peperiksaan mengharapkan anda mengetahui bahawa GuardDuty boleh disesuaikan dengan persekitaran, bukannya kotak hitam yang tetap.

Jangan kelirukan GuardDuty dengan Amazon Inspector. GuardDuty memantau aktiviti langsung untuk mengesan ancaman dan pencerobohan aktif. Inspector mengimbas kerentanan, seperti perisian yang belum ditampal dan kebolehcapaian rangkaian yang berisiko, sebelum kerentanan tersebut dieksploitasi. Satu ialah pengesanan ancaman masa jalan, manakala satu lagi ialah penilaian kerentanan, dan peperiksaan sering menguji perkhidmatan yang patut dipilih untuk matlamat tertentu.

GuardDuty ialah pengesanan ancaman terurus tanpa ejen yang menganalisis telemetri AWS sedia ada menggunakan perisikan ancaman, pengesanan anomali dan pembelajaran mesin. Ia memberi amaran melalui penemuan tetapi tidak menyekat; pemulihan memerlukan automasi. Pentadbir yang diwakil membolehkannya merentas Organisasi, dan penemuannya disalurkan ke Security Hub, Detective dan EventBridge.