Hva GuardDuty oppdager, og hvorfor

Amazon GuardDuty er AWS' administrerte tjeneste for trusseldeteksjon. Det som kjennetegner den, er at den krever ingen agenter og ingen programvare som må distribueres. De aktiverer den ganske enkelt, og deretter begynner den å analysere AWS-telemetri for ondsinnet eller uautorisert atferd. Dette gjør det raskt å rulle den ut i en hel konto eller organisasjon.

GuardDuty henter kontinuerlig inn og analyserer eksisterende datakilder, og bruker deretter trusseletterretning, avviksdeteksjon og maskinlæring til å oppdage mistenkelig aktivitet. Fordi den leser logger AWS allerede produserer, tilfører den deteksjon uten å endre arbeidsbelastningene Deres. Den kjører utelukkende som en administrert tjeneste.

GuardDuty analyserer konto- og nettverksaktivitet for å oppdage trusler. Den kan oppdage rekognosering, kompromitterte instanser og uvanlig kontoatferd. Eksempler er en instans som kommuniserer med en kjent ondsinnet IP-adresse, legitimasjon som brukes fra et uvanlig sted, eller et forsøk på å deaktivere sikkerhetslogging.

GuardDuty bruker AWS- og tredjepartsbaserte trusseletterretningskilder, altså lister over kjente skadelige IP-adresser og domener. Når ressursene Deres kommuniserer med en av disse, oppretter den et funn. De kan også legge til egne lister over pålitelige og truende IP-adresser for å tilpasse deteksjonen til miljøet Deres.

I tillegg til lister over kjente trusler lærer GuardDuty den normale atferden til kontoen Deres og markerer avvik. Et API-kall fra et nytt land, en uvanlig økning i aktivitet eller en rolle som brukes på en måte den aldri har vært brukt på, kan utløse funn. Dette fanger opp nye angrep som ingen blokkeringsliste ville kjent til.

Et avgjørende poeng er at GuardDuty oppdager og varsler, men blokkerer ikke. Den produserer funn som beskriver det den har sett. For å reagere på et funn kobler De det til automatisering, for eksempel ved at EventBridge utløser utbedring. Det skilles tydelig mellom deteksjon og forebygging, og dette testes ofte.

GuardDuty støtter en delegert administrator som administrerer deteksjon i en hel AWS Organization. Én sikkerhetskonto kan aktivere GuardDuty for alle medlemskontoer og vise alle funn sentralt. Dette skalerer deteksjonen uten at hver konto må konfigureres manuelt.

Fordi det ikke finnes agenter, servere eller loggpipelines som må bygges, har GuardDuty svært lave driftskostnader. De betaler basert på mengden data som analyseres. Denne friksjonsfrie modellen er grunnen til at det ofte er den første deteksjonstjenesten en organisasjon aktiverer.

Funn fra GuardDuty sendes naturlig til Security Hub for sammenstilling og til Detective for undersøkelser, samt til EventBridge for respons. GuardDuty er deteksjonsmotoren i sentrum av en større pipeline for trusselrespons, ikke et frittstående verktøy.

De kan finjustere GuardDuty med klarerte IP-lister (adresser som aldri skal flagges) og trussel-IP-lister (adresser som alltid skal flagges), i tillegg til undertrykkingsregler for å arkivere forventede funn. Denne finjusteringen reduserer støy, slik at analytikere kan konsentrere seg om reelle trusler. Til eksamen må De vite at GuardDuty kan tilpasses et miljø og ikke er en fast svart boks.

Ikke forveksle GuardDuty med Amazon Inspector. GuardDuty overvåker aktivitet i sanntid for å oppdage aktive trusler og inntrengninger. Inspector skanner etter sårbarheter, som programvare som ikke er oppdatert og risikabel nettverkstilgjengelighet, før de utnyttes. Den ene tjenesten oppdager trusler under kjøring, mens den andre vurderer sårbarheter. Til eksamen blir De ofte testet i hvilken tjeneste som skal velges for et bestemt mål.

GuardDuty er agentløs, administrert trusseldeteksjon som analyserer eksisterende AWS-telemetri ved hjelp av trusselintelligens, anomalideteksjon og maskinlæring. Tjenesten varsler via funn, men blokkerer ikke; utbedring krever automatisering. En delegert administrator aktiverer tjenesten på tvers av en Organization, og funnene sendes videre til Security Hub, Detective og EventBridge.