Co wykrywa GuardDuty i dlaczego

Amazon GuardDuty to zarządzana przez AWS usługa wykrywania zagrożeń. Jej najważniejszą cechą jest to, że nie wymaga agentów ani wdrażania oprogramowania. Wystarczy ją włączyć, aby rozpoczęła analizę danych telemetrycznych AWS pod kątem złośliwego lub nieautoryzowanego działania. Dzięki temu można ją szybko wdrożyć na całym koncie lub w całej organizacji.

GuardDuty stale pobiera i analizuje dane z istniejących źródeł, a następnie wykorzystuje analizę zagrożeń, wykrywanie anomalii i uczenie maszynowe do wykrywania podejrzanej aktywności. Ponieważ odczytuje dzienniki, które AWS już tworzy, zapewnia wykrywanie zagrożeń bez modyfikowania obciążeń. Działa w całości jako usługa zarządzana.

GuardDuty analizuje aktywność konta i sieci w celu wykrywania zagrożeń. Potrafi wykrywać rozpoznanie, przejęte instancje i nietypowe zachowania konta. Przykłady obejmują komunikację instancji ze znanym złośliwym adresem IP, użycie danych uwierzytelniających z nietypowej lokalizacji lub próbę wyłączenia rejestrowania zdarzeń bezpieczeństwa.

GuardDuty korzysta z należących do AWS i zewnętrznych źródeł informacji o zagrożeniach, czyli list znanych złośliwych adresów IP i domen. Gdy zasoby komunikują się z jednym z nich, usługa generuje ustalenie. Mogą Państwo również dostarczyć własne listy zaufanych adresów IP i adresów stanowiących zagrożenie, aby dostosować wykrywanie do swojego środowiska.

Oprócz list znanych zagrożeń GuardDuty uczy się normalnego zachowania konta i oznacza anomalia. Wywołanie API z nowego kraju, nietypowy wzrost aktywności lub użycie roli w sposób, w jaki nigdy wcześniej jej nie używano, może wywołać ustalenie. Pozwala to wykrywać nowe ataki, których nie uwzględniałaby żadna lista blokad.

Kluczowa kwestia: GuardDuty wykrywa zagrożenia i wysyła alerty, ale ich nie blokuje. Tworzy ustalenia opisujące zaobserwowane zdarzenia. Aby zareagować na ustalenie, należy połączyć je z automatyzacją, na przykład skonfigurować EventBridge tak, aby uruchamiał działania naprawcze. Rozróżnienie wykrywania i zapobiegania jest często sprawdzane na egzaminach.

GuardDuty obsługuje delegowanego administratora, który zarządza wykrywaniem zagrożeń w całej AWS Organization. Jedno konto bezpieczeństwa może włączyć GuardDuty dla każdego konta członkowskiego i centralnie wyświetlać wszystkie ustalenia. Pozwala to skalować wykrywanie bez ręcznej konfiguracji każdego konta.

Ponieważ nie ma agentów, serwerów ani potoków dzienników do zbudowania, uruchomienie GuardDuty wiąże się z bardzo niewielkim kosztem operacyjnym. Opłaty są naliczane na podstawie ilości analizowanych danych. Ten model, niewymagający dużego nakładu pracy, sprawia, że jest to często pierwsza usługa wykrywania zagrożeń włączana przez organizację.

Wykrycia z GuardDuty można naturalnie przekazywać do Security Hub w celu agregacji, do Detective w celu analizy oraz do EventBridge w celu reagowania. GuardDuty jest silnikiem wykrywania w centrum większego potoku reagowania na zagrożenia, a nie samodzielnym narzędziem.

Można dostosować GuardDuty za pomocą zaufanych list adresów IP (adresów, które nigdy nie powinny być oznaczane) oraz list adresów IP stanowiących zagrożenie (adresów, które zawsze powinny być oznaczane), a także reguł wyciszania służących do archiwizowania oczekiwanych wykryć. Takie dostosowanie ogranicza liczbę nieistotnych alertów, dzięki czemu analitycy mogą skupić się na rzeczywistych zagrożeniach. Na egzaminie należy wiedzieć, że GuardDuty można dostosować do danego środowiska, a nie traktować go jako niezmienny czarny boks.

Nie należy mylić GuardDuty z usługą Amazon Inspector. GuardDuty monitoruje aktywność w czasie rzeczywistym, aby wykrywać aktywne zagrożenia i włamania. Inspector skanuje w poszukiwaniu luk w zabezpieczeniach, takich jak niezałatane oprogramowanie i ryzykowna dostępność sieciowa, zanim zostaną one wykorzystane. Jedna usługa służy do wykrywania zagrożeń w czasie działania, a druga do oceny luk w zabezpieczeniach. Na egzaminie często sprawdzane jest, którą z nich wybrać w zależności od celu.

Sprawdź podstawową wiedzę o GuardDuty.

GuardDuty to zarządzana, bezagentowa usługa wykrywania zagrożeń, która analizuje istniejące dane telemetryczne AWS, korzystając z analizy zagrożeń, wykrywania anomalii i uczenia maszynowego. Generuje alerty za pomocą wykryć, ale nie blokuje zagrożeń; do ich usuwania potrzebna jest automatyzacja. Administrator delegowany może włączyć usługę w całej organizacji, a wykrycia są przekazywane do Security Hub, Detective i EventBridge.