Что обнаруживает GuardDuty и зачем

Amazon GuardDuty — управляемый сервис обнаружения угроз AWS. Его ключевая особенность — отсутствие агентов и развёртываемого программного обеспечения. Достаточно включить его, и он начнёт анализировать телеметрию AWS на наличие вредоносного или несанкционированного поведения. Поэтому его легко быстро развернуть во всём аккаунте или организации.

GuardDuty непрерывно получает и анализирует уже существующие источники данных, а затем применяет сведения об угрозах, обнаружение аномалий и машинное обучение для выявления подозрительной активности. Поскольку он читает журналы, которые AWS уже создаёт, обнаружение угроз не требует изменений в Ваших рабочих нагрузках. Сервис полностью работает как управляемый.

GuardDuty анализирует активность аккаунта и сети для обнаружения угроз. Он может выявлять разведку, скомпрометированные экземпляры и необычное поведение аккаунта. Например, экземпляр может связываться с известным вредоносным IP-адресом, учётные данные могут использоваться из необычного места, или кто-то может пытаться отключить ведение журнала безопасности.

GuardDuty использует каналы сведений об угрозах AWS и сторонних поставщиков — списки известных вредоносных IP-адресов и доменов. Когда Ваши ресурсы обращаются к одному из них, сервис создаёт обнаружение. Вы также можете добавить собственные списки доверенных и опасных IP-адресов, чтобы настроить обнаружение под свою среду.

Помимо списков известных угроз, GuardDuty изучает обычное поведение Вашего аккаунта и отмечает аномалии. Вызов API из новой страны, необычный всплеск активности или использование роли непривычным способом могут привести к созданию обнаружения. Это помогает выявлять новые атаки, о которых ещё нет сведений в списках блокировки.

Важно понимать: GuardDuty обнаруживает угрозы и отправляет оповещения, но не блокирует их. Он создаёт обнаружения с описанием увиденного. Чтобы отреагировать на обнаружение, подключите автоматизацию, например EventBridge, которая запустит исправление. Различие между обнаружением и предотвращением часто проверяется на экзаменах.

GuardDuty поддерживает делегированного администратора, который управляет обнаружением угроз во всей организации AWS. Один аккаунт безопасности может включить GuardDuty для каждого аккаунта-участника и централизованно просматривать все обнаружения. Это позволяет масштабировать обнаружение без ручной настройки каждого аккаунта.

Поскольку не нужны агенты, серверы и конвейеры журналов, эксплуатационные затраты GuardDuty очень низки. Оплата зависит от объёма анализируемых данных. Именно поэтому такую модель без лишних препятствий организации часто выбирают для первого включаемого сервиса обнаружения угроз.

Результаты обнаружения GuardDuty естественным образом передаются в Security Hub для объединения и в Detective для расследования, а в EventBridge — для реагирования. GuardDuty — это ядро обнаружения угроз в более широком процессе реагирования на угрозы, а не самостоятельный инструмент.

Вы можете настроить GuardDuty с помощью списков доверенных IP-адресов (адресов, которые никогда не должны помечаться как подозрительные) и списков IP-адресов угроз (адресов, которые всегда должны помечаться), а также правил подавления для архивирования ожидаемых результатов обнаружения. Такая настройка уменьшает количество лишних срабатываний, чтобы аналитики могли сосредоточиться на настоящих угрозах. На экзамене нужно знать, что GuardDuty можно адаптировать к конкретной среде, а не использовать как неизменяемый «чёрный ящик».

Не путайте GuardDuty с Amazon Inspector. GuardDuty отслеживает активность в реальном времени, чтобы обнаруживать активные угрозы и вторжения. Inspector выполняет поиск уязвимостей, таких как необновлённое программное обеспечение и опасная доступность по сети, прежде чем ими воспользуются. Один сервис обнаруживает угрозы во время выполнения, другой оценивает уязвимости; на экзамене часто проверяется, какой из них выбрать для конкретной задачи.

Проверьте свои базовые знания о GuardDuty.

GuardDuty — это управляемый сервис обнаружения угроз без агентов, который анализирует имеющиеся телеметрические данные AWS с помощью сведений об угрозах, обнаружения аномалий и машинного обучения. Он создаёт оповещения в виде результатов обнаружения, но не блокирует угрозы; для устранения угроз требуется автоматизация. Делегированный администратор включает его во всей организации, а результаты обнаружения передаются в Security Hub, Detective и EventBridge.