GuardDuty-findings lezen en prioriteren

Een druk account kan veel bevindingen genereren en niet alle bevindingen zijn even belangrijk. Om goed te reageren moet je prioriteren en je eerst richten op de bedreigingen die waarschijnlijk de meeste schade veroorzaken. GuardDuty ondersteunt dit met ernstscores en uitgebreide details van bevindingen, die aangeven waar je het eerst moet kijken.

Elke GuardDuty-bevinding heeft een waarde voor ernst van 0,1 tot 8,9 en hoger, gekoppeld aan niveaus. In grote lijnen is 1,0 tot 3,9 Laag, 4,0 tot 6,9 Gemiddeld en 7,0 tot 8,9 Hoog. Hogere getallen betekenen meer zekerheid en een grotere mogelijke impact, waardoor deze bevindingen voorrang krijgen.

Een bevinding met een hoge ernst betekent waarschijnlijk dat een resource is gecompromitteerd en zich schadelijk gedraagt, wat dringend optreden vereist. Gemiddelde ernst wijst op verdachte activiteit die onderzoek verdient. Lage ernst wijst vaak op verkenning of ongebruikelijk, maar nog niet schadelijk gedrag. Ernst geeft de urgentie aan, niet de zekerheid dat er een inbreuk heeft plaatsgevonden.

Elke bevinding bevat de getroffen resource, de actor (zoals een extern IP-adres en de geolocatie ervan), de waargenomen actie en het aantal keren dat deze heeft plaatsgevonden. Door deze velden te lezen, verandert een waarschuwing van één regel in een verhaal: wie deed wat, met welke resource, vanaf waar en hoe vaak.

Bevindingen houden tijdstempels bij van het eerste en laatste moment waarop ze zijn gezien, evenals een aantal. Een bevinding die zich urenlang herhaaldelijk voordoet, is ernstiger dan een eenmalige uitschieter. Deze tijdgegevens helpen je bepalen of een aanval nog gaande is, wat sterk bepaalt hoe snel je deze moet indammen.

Het doel van de bedreiging bepaalt je respons. Een CryptoCurrency-bevinding op een instantie betekent waarschijnlijk dat er wordt gemined en vereist isolatie. Een UnauthorizedAccess-bevinding voor een IAM-gebruiker betekent dat een referentie mogelijk is gestolen en dat je de sleutel moet rouleren. De respons afstemmen op het doel vormt de kern van triage.

Je kunt onderdrukkingsregels maken om bevindingen die overeenkomen met bekend, verwacht gedrag automatisch te archiveren, zoals een kwetsbaarheidsscanner die je bewust uitvoert. Zo blijft de wachtrij gericht op echte signalen. Onderdrukte bevindingen blijven bestaan voor audits, maar leiden responders niet af.

GuardDuty kan voorbeeldbevindingen genereren, zodat je triage kunt oefenen en je automatisering kunt testen zonder een echte aanval. Teams kunnen hiermee veilig responsdraaiboeken opstellen en valideren. Het is nuttig om deze functie te kennen bij het opzetten van pijplijnen van detectie naar respons.

Geprioriteerde bevindingen gaan een responsproces in: een inbreuk op een instantie met hoge ernst kan bijvoorbeeld automatische isolatie activeren, terwijl een identiteitsbevinding met gemiddelde ernst een analist kan oproepen. De ernst en het type bepalen samen of automatisering of een persoon de afhandeling uitvoert en hoe snel dat gebeurt.

GuardDuty voegt herhaalde exemplaren van dezelfde bevinding samen tot één bevinding en werkt het aantal en het tijdstip van de laatste waarneming bij, in plaats van een stroom dubbele bevindingen te maken. Je kunt ook instellen hoe vaak bijgewerkte bevindingen naar EventBridge en S3 worden gepubliceerd. Zo blijft de wachtrij overzichtelijk en wordt nog steeds weergegeven dat een aanval gaande is.

Standaard bewaart GuardDuty bevindingen 90 dagen. Om ze langer te bewaren voor audits of trendanalyses, exporteer je bevindingen naar een S3-bucket en stel je in hoe vaak nieuwe bevindingen worden geëxporteerd. Door bevindingen door te sturen naar Security Hub en EventBridge worden ze ook bewaard en verwerkt. Voor compliancescenario's is het belangrijk te weten hoe bevindingen worden bewaard en geëxporteerd.

GuardDuty kent elke bevinding een ernst toe (ongeveer Laag 1-3,9, Gemiddeld 4-6,9 en Hoog 7-8,9), plus details over de resource, actor, actie, geolocatie en timing. Prioriteer op basis van ernst en impact, gebruik het doel van de bedreiging om een respons te kiezen en pas onderdrukkingsregels toe om bekende onschuldige ruis te dempen. Met voorbeeldbevindingen kun je veilig triage oefenen.