GuardDuty-datakilder og funntyper

GuardDuty installerer ikke sensorer, men analyserer logger som AWS allerede genererer. De grunnleggende datakildene er CloudTrail-administrasjonshendelser, VPC Flow Logs og DNS-spørringslogger. Fra disse tre datastrømmene rekonstruerer tjenesten aktivitet knyttet til kontoer, nettverk og navneoppløsning for å lete etter trusler.

Ved å lese CloudTrail-administrasjonshendelser ser GuardDuty API-kallene som gjøres i kontoen Deres. Dette gjør det mulig å oppdage identitetstrusler som uvanlig API-aktivitet, legitimasjon som brukes fra et merkelig sted, eller forsøk på å deaktivere logging. Tjenesten analyserer også CloudTrail S3-datahendelser som en valgfri kilde.

Fra VPC Flow Logs observerer GuardDuty nettverkstilkoblinger, inkludert kommunikasjon med kjente ondsinnede IP-adresser. Dette gjør tjenesten selv om De ikke har aktivert Flow Logs, fordi den leser de underliggende nettverksdataene uavhengig av dette. Dermed kan den oppdage instanser som kobler seg til kommando- og kontrollservere.

GuardDuty undersøker DNS-spørringslogger for å oppdage mistenkelige domeneoppslag, for eksempel spørringer mot skadevaredomener eller tegn på dataeksfiltrering via DNS. Dette fungerer for instanser som bruker AWS' standardiserte DNS-oppløser. Uvanlige DNS-mønstre er en sterk indikator på kompromittering.

I tillegg til de grunnleggende datakildene tilbyr GuardDuty ekstra beskyttelsesplaner: S3 Protection, EKS (Kubernetes) Protection, Malware Protection, RDS Protection og Lambda Protection. Hver plan utvider deteksjonen til en bestemt tjeneste og analyserer aktiviteten der for trusler som er relevante for arbeidsbelastningen.

GuardDuty-funn grupperes i kategorier etter hva de beskriver. Funn av typen Reconnaissance viser sondering og skanning. Funn av typen Instance compromise viser at en arbeidsbelastning oppfører seg ondsinnet. Funn av typen Account compromise viser mistenkelig bruk av legitimasjon eller konfigurasjonsendringer.

Hvert funn har en strukturert type, for eksempel Recon:EC2/PortProbeUnprotectedPort eller UnauthorizedAccess:IAMUser/MaliciousIPCaller. Formatet er ThreatPurpose:ResourceType/ThreatName. Når De tolker dette, ser De hensikten, den berørte ressursen og den konkrete atferden som ble oppdaget.

Ressurstypen i et funn (EC2, IAMUser, S3Bucket, Kubernetes) forteller hva som ble berørt. Trusselformålet (Recon, UnauthorizedAccess, CryptoCurrency, Trojan, Backdoor) forteller hva angriperen sannsynligvis forsøker å oppnå. Sammen gjør disse det mulig å prioritere saker raskt.

Vanlige funn omfatter kryptoutvinning på en kompromittert instans, en eksponert tilgangsnøkkel som brukes ondsinnet, portskanning og en Tor-utgangsnode som kobler seg til ressursene Deres. Når De kjenner igjen disse typiske typene, kan De reagere riktig i stedet for å behandle alle funn likt.

Planen Malware Protection kan skanne EBS-volumene til en instans som er flagget av et funn, og lete etter skadevare uten at De installerer noe. Den oppretter egne skadevarefunn for å bekrefte eller styrke en mistanke. Denne agentløse skanningen er et nyttig tillegg når et grunnleggende funn tyder på at en instans kan være infisert.

En detalj som ofte testes: GuardDuty leser de grunnleggende datakildene uavhengig. De trenger ikke å aktivere CloudTrail, Flow Logs eller DNS-logging selv for at GuardDuty skal analysere aktiviteten. Dette påvirker heller ikke eller medfører kostnader for Deres egne kopier av disse loggene. Derfor kan GuardDuty begynne å oppdage trusler umiddelbart når tjenesten aktiveres.

GuardDutys grunnleggende datakilder er CloudTrail (identitets- og API-aktivitet), VPC Flow Logs (nettverkstilkoblinger) og DNS-logger (mistenkelige oppslag), i tillegg til valgfrie beskyttelsesplaner for S3, EKS, RDS, Lambda og skadevare. Funn bruker formatet ThreatPurpose:ResourceType/ThreatName, slik at De kan prioritere etter hensikt og berørt ressurs.