Źródła danych i typy ustaleń GuardDuty

GuardDuty nie instaluje czujników — analizuje dzienniki, które AWS już generuje. Jego podstawowe źródła danych to zdarzenia zarządzania CloudTrail, dzienniki przepływu VPC oraz dzienniki zapytań DNS. Na podstawie tych trzech strumieni odtwarza aktywność kont, sieci i rozpoznawania nazw, aby wyszukiwać zagrożenia.

Odczytując zdarzenia zarządzania CloudTrail, GuardDuty widzi wywołania API wykonywane na koncie. Dzięki temu może wykrywać zagrożenia związane z tożsamością, takie jak nietypowa aktywność API, użycie poświadczeń z nietypowej lokalizacji lub próby wyłączenia rejestrowania. Opcjonalnym źródłem są również zdarzenia danych CloudTrail dla S3.

Na podstawie dzienników przepływu VPC GuardDuty obserwuje połączenia sieciowe, w tym komunikację ze znanymi złośliwymi adresami IP. Robi to nawet wtedy, gdy samodzielnie nie włączono dzienników przepływu, ponieważ niezależnie odczytuje dane bazowej warstwy sieciowej. Pozwala to wykrywać instancje łączące się z serwerami dowodzenia i kontroli.

GuardDuty analizuje dzienniki zapytań DNS, aby wykrywać podejrzane wyszukiwania domen, takie jak zapytania do domen powiązanych ze złośliwym oprogramowaniem lub oznaki eksfiltracji danych przez DNS. Działa to w przypadku instancji korzystających z domyślnego mechanizmu rozpoznawania nazw DNS AWS. Nietypowe wzorce DNS są silnym wskaźnikiem naruszenia zabezpieczeń.

Oprócz podstawowych źródeł GuardDuty oferuje dodatkowe plany ochrony: S3 Protection, EKS (Kubernetes) Protection, Malware Protection, RDS Protection oraz Lambda Protection. Każdy z nich rozszerza wykrywanie na określoną usługę i analizuje jej aktywność pod kątem zagrożeń istotnych dla danego obciążenia.

Wykrycia GuardDuty są grupowane według opisywanych zdarzeń. Wykrycia kategorii Reconnaissance wskazują na sondowanie i skanowanie. Wykrycia kategorii Instance compromise wskazują, że obciążenie zachowuje się w sposób złośliwy. Wykrycia kategorii Account compromise wskazują na podejrzane użycie poświadczeń lub zmiany konfiguracji.

Każde wykrycie ma uporządkowany typ, taki jak Recon:EC2/PortProbeUnprotectedPort lub UnauthorizedAccess:IAMUser/MaliciousIPCaller. Format to ThreatPurpose:ResourceType/ThreatName. Jego rozszyfrowanie wskazuje zamiar, zasób, którego dotyczy problem, oraz konkretną wykrytą aktywność.

Typ zasobu w wykryciu (EC2, IAMUser, S3Bucket, Kubernetes) informuje, czego dotyczy problem. Cel zagrożenia (Recon, UnauthorizedAccess, CryptoCurrency, Trojan, Backdoor) wskazuje prawdopodobny cel atakującego. Razem te informacje umożliwiają szybkie przeprowadzenie wstępnej analizy.

Do często spotykanych wykryć należą wydobywanie kryptowalut na zaatakowanej instancji, złośliwe użycie ujawnionego klucza dostępu, skanowanie portów oraz połączenie węzła wyjściowego Tor z zasobami. Rozpoznawanie tych typowych typów pomaga odpowiednio reagować, zamiast traktować każde wykrycie w ten sam sposób.

Plan Malware Protection może skanować woluminy EBS instancji oznaczonej przez wykrycie w poszukiwaniu złośliwego oprogramowania, bez konieczności instalowania czegokolwiek. Generuje własne wykrycia złośliwego oprogramowania, aby potwierdzić lub wzmocnić podejrzenie. To bezagentowe skanowanie jest przydatnym dodatkiem, gdy podstawowe wykrycie sugeruje, że instancja może być zainfekowana.

Często sprawdzany szczegół: GuardDuty niezależnie odczytuje swoje podstawowe źródła. Nie trzeba samodzielnie włączać CloudTrail, dzienników przepływu ani rejestrowania DNS, aby GuardDuty mogło analizować tę aktywność. Nie ma to również wpływu na własne kopie tych dzienników ani nie powoduje naliczania za nie opłat. Dzięki temu GuardDuty może rozpocząć wykrywanie natychmiast po włączeniu.

Powiąż zagrożenia ze źródłami danych.

Podstawowe źródła danych GuardDuty to CloudTrail (aktywność tożsamości i API), VPC Flow Logs (połączenia sieciowe) oraz dzienniki DNS (podejrzane wyszukiwania), a także opcjonalne plany ochrony dla S3, EKS, RDS, Lambda i złośliwego oprogramowania. Wykrycia używają formatu ThreatPurpose:ResourceType/ThreatName, co pozwala przeprowadzić wstępną analizę według celu i zasobu, którego dotyczy problem.