O que o GuardDuty Detecta e Por Quê

O Amazon GuardDuty é o serviço gerenciado de detecção de ameaças da AWS. Sua principal característica é não precisar de agentes nem de software para implantação. Basta ativá-lo para que comece a analisar a telemetria da AWS em busca de comportamentos maliciosos ou não autorizados. Isso permite implantá-lo rapidamente em toda uma conta ou organização.

O GuardDuty ingere e analisa continuamente fontes de dados existentes e aplica inteligência contra ameaças, detecção de anomalias e aprendizado de máquina para identificar atividades suspeitas. Como lê registros que a AWS já produz, acrescenta detecção sem alterar suas cargas de trabalho. Ele funciona inteiramente como um serviço gerenciado.

O GuardDuty analisa atividades da conta e da rede para detectar ameaças. Ele pode identificar reconhecimento, instâncias comprometidas e comportamentos incomuns da conta. Os exemplos incluem uma instância se comunicando com um IP malicioso conhecido, credenciais usadas de um local incomum ou uma tentativa de desativar o registro de segurança.

O GuardDuty usa fontes de inteligência contra ameaças da AWS e de terceiros, com listas de endereços IP e domínios conhecidos como maliciosos. Quando seus recursos se comunicam com um deles, o serviço gera uma descoberta. Você também pode fornecer suas próprias listas de IPs confiáveis e de ameaça para ajustar a detecção ao seu ambiente.

Além das listas de itens conhecidos como maliciosos, o GuardDuty aprende o comportamento normal da sua conta e sinaliza anomalias. Uma chamada de API originada de um novo país, um aumento incomum na atividade ou uma função usada de uma maneira inédita podem gerar descobertas. Isso identifica ataques novos que nenhuma lista de bloqueio conheceria.

Um ponto crucial: o GuardDuty detecta e alerta; ele não bloqueia. Ele produz descobertas que descrevem o que observou. Para agir sobre uma descoberta, você a conecta à automação, por exemplo, fazendo o EventBridge acionar uma correção. Entender essa diferença entre detectar e prevenir é muito importante nas provas.

O GuardDuty aceita um administrador delegado que gerencia a detecção em toda uma AWS Organization. Uma conta de segurança pode ativar o GuardDuty para todas as contas-membro e visualizar centralmente todas as descobertas. Isso permite ampliar a detecção sem configurar cada conta manualmente.

Como não há agentes, servidores nem pipelines de registros para criar, o GuardDuty tem um custo operacional muito baixo. Você paga com base no volume de dados analisados. Esse modelo simples é o motivo pelo qual ele costuma ser o primeiro serviço de detecção ativado por uma organização.

As descobertas do GuardDuty são encaminhadas naturalmente ao Hub de Segurança para agregação, ao Detetive para investigação e ao EventBridge para resposta. O GuardDuty é o mecanismo de detecção no centro de um pipeline mais amplo de resposta a ameaças, e não uma ferramenta independente.

É possível ajustar o GuardDuty com listas de IP confiáveis (endereços que nunca devem ser sinalizados) e listas de IP de ameaças (endereços que sempre devem ser sinalizados), além de regras de supressão para arquivar descobertas esperadas. Esse ajuste reduz o ruído para que os analistas se concentrem em ameaças reais. A prova espera que você saiba que o GuardDuty pode ser ajustado a um ambiente, e não é uma caixa-preta fixa.

Não confunda o GuardDuty com o Inspector da Amazon. O GuardDuty monitora a atividade em tempo real para detectar ameaças e invasões ativas. O Inspector verifica vulnerabilidades, como software sem correções e acessibilidade de rede arriscada, antes que sejam exploradas. Um faz detecção de ameaças em tempo de execução; o outro faz avaliação de vulnerabilidades, e a prova frequentemente verifica qual escolher para determinado objetivo.

Teste seus fundamentos sobre o GuardDuty.

O GuardDuty é um serviço gerenciado e sem agentes para detecção de ameaças, que analisa a telemetria existente da AWS usando inteligência contra ameaças, detecção de anomalias e aprendizado de máquina. Ele emite alertas por meio de descobertas, mas não bloqueia; a correção exige automação. Um administrador delegado o habilita em toda uma organização, e suas descobertas são encaminhadas ao Hub de Segurança, ao Detetive e ao EventBridge.