Lese og prioritere GuardDuty-funn

En aktiv konto kan generere mange funn, og ikke alle er like viktige. For å reagere godt må De prioritere og først konsentrere Dem om truslene som mest sannsynlig kan føre til reell skade. GuardDuty støtter dette med alvorlighetsgrader og detaljerte funn som viser hvor De bør begynne.

Hvert GuardDuty-funn har en alvorlighetsgrad fra 0,1 til 8,9 og høyere, tilordnet ulike nivåer. Omtrent 1,0 til 3,9 er Lav, 4,0 til 6,9 er Middels, og 7,0 til 8,9 er Høy. Høyere tall betyr større sikkerhet og mulig konsekvens, og funnene prioriteres derfor først.

Et funn med høy alvorlighetsgrad tyder på at en ressurs sannsynligvis er kompromittert og oppfører seg ondsinnet, og krever rask handling. Middels alvorlighetsgrad tyder på mistenkelig aktivitet som bør undersøkes. Lav alvorlighetsgrad gjenspeiler ofte rekognosering eller uvanlig atferd som ennå ikke er skadelig. Alvorlighetsgraden sier noe om hvor raskt De bør reagere, ikke hvor sikkert et sikkerhetsbrudd har funnet sted.

Hvert funn inneholder den berørte ressursen, aktøren (for eksempel en ekstern IP-adresse og dens geografiske plassering), handlingen som ble observert, og hvor mange ganger den forekom. Når De leser disse feltene, blir et énliniers varsel til en historie: hvem gjorde hva, mot hvilken ressurs, fra hvor og hvor ofte.

Funn registrerer tidsstempler for først og sist sett, samt et antall. Et funn som oppstår gjentatte ganger over flere timer, er mer alvorlig enn en enkelt forekomst. Disse tidsdetaljene hjelper Dem med å vurdere om et angrep pågår, noe som har stor betydning for hvor raskt De må begrense det.

Trusselformålet påvirker hvordan De bør reagere. Et CryptoCurrency-funn på en instans betyr sannsynligvis kryptoutvinning og tilsier isolering. Et UnauthorizedAccess-funn på en IAM-bruker betyr at legitimasjonen kan være stjålet, og tilsier rotering av nøkler. Å tilpasse responsen til formålet er selve kjernen i prioriteringen.

De kan opprette undertrykkingsregler for automatisk å arkivere funn som samsvarer med kjent, forventet atferd, for eksempel en sårbarhetsskanner De kjører med hensikt. Dette holder køen konsentrert om reelle signaler. Undertrykte funn finnes fortsatt for revisjon, men distraherer ikke de som håndterer hendelsene.

GuardDuty kan generere eksempelfunn, slik at De kan øve på prioritering og teste automatiseringen uten et reelt angrep. Dermed kan team bygge og validere responsprosedyrer på en trygg måte. Det er nyttig å kjenne til denne funksjonen når De setter opp pipelines fra deteksjon til respons.

Prioriterte funn går inn i en responsprosess: Et kompromittert instansfunn med høy alvorlighetsgrad kan utløse automatisk isolering, mens et middels alvorlig identitetsfunn kan varsle en analytiker. Alvorlighetsgrad og type avgjør samlet om automatisering eller en person skal håndtere funnet, og hvor raskt.

GuardDuty samler gjentatte forekomster av samme funn i ett enkelt funn og oppdaterer antallet og tidspunktet for siste observasjon i stedet for å opprette en mengde duplikater. De kan også konfigurere hvor ofte oppdaterte funn publiseres til EventBridge og S3. Dette holder køen oversiktlig, samtidig som den fortsatt viser at et angrep pågår.

Som standard oppbevares GuardDuty-funn i 90 dager. Hvis De vil beholde dem lenger for revisjon eller trendanalyse, eksporterer De funn til en S3-bøtte og konfigurerer hvor ofte nye funn skal eksporteres. Ved å sende funn videre til Security Hub og EventBridge kan De også bevare og handle på dem. Det er viktig å vite hvordan funn oppbevares og eksporteres i forbindelse med krav til etterlevelse.

GuardDuty tildeler hvert funn en alvorlighetsgrad (omtrent Lav 1–3,9, Middels 4–6,9, Høy 7–8,9), i tillegg til detaljer om ressurs, aktør, handling, geografisk plassering og tidspunkt. Prioriter etter alvorlighetsgrad og konsekvens, bruk trusselformålet til å velge respons, og bruk undertrykkingsregler for å skjule kjent, ufarlig støy. Med eksempelfunn kan De øve på prioritering på en trygg måte.