Источники данных и типы результатов GuardDuty

GuardDuty не устанавливает датчики, а анализирует журналы, которые AWS уже создаёт. Его основные источники данных — события управления CloudTrail, журналы потоков VPC и журналы DNS-запросов. На основе этих трёх потоков сервис восстанавливает сведения об активности учётных записей, сети и разрешении имён, чтобы искать угрозы.

Читая события управления CloudTrail, GuardDuty видит вызовы API, выполняемые в вашей учётной записи. Это позволяет обнаруживать угрозы, связанные с удостоверениями: необычную активность API, использование учётных данных из подозрительного местоположения или попытки отключить ведение журналов. Сервис также анализирует события данных CloudTrail для S3 как дополнительный источник.

По журналам потоков VPC GuardDuty отслеживает сетевые соединения, включая обмен данными с известными вредоносными IP-адресами. Он делает это, даже если вы самостоятельно не включали журналы потоков, поскольку независимо читает базовые сетевые данные. Благодаря этому обнаруживаются экземпляры, устанавливающие соединения с серверами управления и контроля.

GuardDuty проверяет журналы DNS-запросов, чтобы обнаруживать подозрительные обращения к доменам, например запросы к доменам вредоносных программ или признаки вывода данных через DNS. Это работает для экземпляров, использующих стандартный DNS-резолвер AWS. Необычные шаблоны DNS — весомый признак компрометации.

Помимо основных источников данных GuardDuty предлагает дополнительные планы защиты: защиту S3, защиту EKS (Kubernetes), защиту от вредоносных программ, защиту RDS и защиту Lambda. Каждый план расширяет обнаружение угроз для определённого сервиса, анализируя его активность с учётом угроз, характерных для соответствующей рабочей нагрузки.

Результаты обнаружения GuardDuty группируются по категориям в зависимости от того, что они описывают. Результаты категории разведка показывают зондирование и сканирование. Результаты категории компрометация экземпляра показывают, что рабочая нагрузка ведёт себя вредоносно. Результаты категории компрометация учётной записи показывают подозрительное использование учётных данных или изменения конфигурации.

Каждый результат обнаружения имеет структурированный тип, например Recon:EC2/PortProbeUnprotectedPort или UnauthorizedAccess:IAMUser/MaliciousIPCaller. Формат: ThreatPurpose:ResourceType/ThreatName. Его расшифровка показывает намерение, затронутый ресурс и конкретное обнаруженное поведение.

Тип ресурса в результате обнаружения (EC2, IAMUser, S3Bucket, Kubernetes) показывает, что именно было затронуто. Назначение угрозы (Recon, UnauthorizedAccess, CryptoCurrency, Trojan, Backdoor) указывает вероятную цель злоумышленника. Вместе эти сведения позволяют быстро провести первичную сортировку.

К распространённым результатам относятся майнинг криптовалюты на скомпрометированном экземпляре, злонамеренное использование раскрытого ключа доступа, сканирование портов и подключение к вашим ресурсам через выходной узел Tor. Умение распознавать такие типичные случаи помогает правильно реагировать, а не обрабатывать каждый результат одинаково.

План защиты от вредоносных программ может просканировать тома EBS экземпляра, отмеченного результатом обнаружения, и найти вредоносные программы без установки каких-либо компонентов. Он создаёт собственные результаты обнаружения вредоносных программ, подтверждая или усиливая подозрение. Такое сканирование без агентов полезно, когда основной результат обнаружения указывает на возможное заражение экземпляра.

Важная деталь, которую часто проверяют: GuardDuty независимо читает основные источники данных. Вам не нужно самостоятельно включать CloudTrail, журналы потоков или ведение журналов DNS, чтобы GuardDuty анализировал эту активность; это также не влияет на ваши собственные копии журналов и не приводит к дополнительной оплате за них. Поэтому GuardDuty начинает обнаружение сразу после включения.

Сопоставьте угрозы с источниками данных.

Основные источники данных GuardDuty — CloudTrail (активность удостоверений и API), журналы потоков VPC (сетевые соединения) и журналы DNS (подозрительные запросы), а также дополнительные планы защиты для S3, EKS, RDS, Lambda и защиты от вредоносных программ. Результаты обнаружения используют формат ThreatPurpose:ResourceType/ThreatName, позволяя проводить первичную сортировку по намерению и затронутому ресурсу.