Läs och prioritera GuardDuty-findings

Ett aktivt konto kan generera många identifieringar, och alla är inte lika viktiga. För att kunna reagera väl måste ni prioritera och först fokusera på de hot som sannolikt kan orsaka verklig skada. GuardDuty stöder detta med allvarlighetsgrader och detaljerad information om identifieringar som visar var ni bör börja.

Varje GuardDuty-identifiering har ett allvarlighetsvärde från 0,1 till 8,9 och högre, kopplat till olika nivåer. Ungefär 1,0 till 3,9 är Low, 4,0 till 6,9 är Medium och 7,0 till 8,9 är High. Högre tal innebär större säkerhet och möjlig påverkan, så dessa identifieringar prioriteras.

En identifiering med hög allvarlighetsgrad tyder på att en resurs sannolikt är komprometterad och agerar skadligt, vilket kräver omedelbara åtgärder. Medium tyder på misstänkt aktivitet som bör utredas. Low återspeglar ofta spaning eller ovanligt beteende som ännu inte är skadligt. Allvarlighetsgraden visar hur brådskande något är, inte hur säkert ett intrång har skett.

Varje identifiering innehåller den berörda resursen, aktören (till exempel en fjärr-IP-adress och dess geografiska placering), den observerade åtgärden och hur många gånger den inträffade. Genom att läsa dessa fält omvandlar ni en varning på en rad till en berättelse: vem gjorde vad, mot vilken resurs, varifrån och hur ofta.

Identifieringar innehåller tidsstämplar för första och senaste observation samt ett antal. En identifiering som återkommer under flera timmar är allvarligare än en enstaka händelse. Dessa tidsdetaljer hjälper er att avgöra om en attack pågår, vilket i hög grad påverkar hur snabbt ni måste begränsa den.

Hotavsikten formar er åtgärd. En CryptoCurrency-identifiering på en instans innebär sannolikt kryptobrytning och motiverar isolering. En UnauthorizedAccess-identifiering för en IAM-användare innebär att en autentiseringsuppgift kan vara stulen och motiverar att nyckeln roteras. Att anpassa åtgärden efter avsikten är kärnan i triage.

Ni kan skapa undertryckningsregler för att automatiskt arkivera identifieringar som motsvarar känt och förväntat beteende, till exempel en sårbarhetsskanner som ni kör avsiktligt. Då förblir kön fokuserad på verkliga signaler. Undertryckta identifieringar finns fortfarande kvar för granskning men distraherar inte de som hanterar incidenter.

GuardDuty kan generera exempelidentifieringar så att ni kan öva på triage och testa er automatisering utan en verklig attack. Det gör att team säkert kan bygga och validera handlingsplaner för incidentrespons. Det är användbart att känna till denna funktion när ni konfigurerar pipelines från detektering till respons.

Prioriterade identifieringar går vidare till en responsprocess: en komprometterad instans med hög allvarlighetsgrad kan utlösa automatisk isolering, medan en identitetsidentifiering med medelhög allvarlighetsgrad kan skicka en avisering till en analytiker. Allvarlighetsgraden och typen avgör tillsammans om automatisering eller en människa hanterar den och hur snabbt.

GuardDuty samlar upprepade förekomster av samma identifiering i en enda identifiering och uppdaterar antalet och tiden för senaste observation i stället för att skapa en mängd dubbletter. Ni kan även konfigurera hur ofta uppdaterade identifieringar publiceras till EventBridge och S3. På så sätt förblir kön lättläst samtidigt som den visar att en attack fortfarande pågår.

Som standard sparas GuardDuty-identifieringar i 90 dagar. Om ni vill behålla dem längre för granskning eller trendanalys kan ni exportera identifieringar till en S3-bucket och konfigurera hur ofta nya identifieringar exporteras. Att skicka identifieringar vidare till Security Hub och EventBridge gör det också möjligt att bevara och agera på dem. Det är viktigt att känna till hur identifieringar sparas och exporteras i efterlevnadsscenarier.

GuardDuty tilldelar varje identifiering en allvarlighetsgrad (ungefär Low 1–3,9, Medium 4–6,9 och High 7–8,9) samt information om resurs, aktör, åtgärd, geografisk placering och tidpunkt. Prioritera efter allvarlighetsgrad och påverkan, använd hotavsikten för att välja åtgärd och tillämpa undertryckningsregler för att tysta känt ofarligt brus. Med exempelidentifieringar kan ni öva på triage på ett säkert sätt.