การอ่านและจัดลำดับความสำคัญของการค้นพบ GuardDuty

บัญชีที่มีการใช้งานมากอาจสร้างผลการตรวจพบจำนวนมาก และผลการตรวจพบเหล่านั้นไม่ได้สำคัญเท่ากันทั้งหมด เพื่อให้ตอบสนองได้ดี คุณต้อง จัดลำดับความสำคัญ โดยมุ่งความสนใจไปที่ภัยคุกคามซึ่งมีแนวโน้มก่อให้เกิดความเสียหายจริงมากที่สุด GuardDuty สนับสนุนงานนี้ด้วยคะแนนระดับความรุนแรงและรายละเอียดผลการตรวจพบที่ครบถ้วน ซึ่งช่วยชี้ว่าควรตรวจสอบจุดใดก่อน

ผลการตรวจพบของ GuardDuty ทุกรายการมีค่า ระดับความรุนแรง ตั้งแต่ 0.1 ถึง 8.9 ขึ้นไป และจับคู่กับระดับต่าง ๆ โดยคร่าว ๆ คือ 1.0 ถึง 3.9 เป็น ต่ำ 4.0 ถึง 6.9 เป็น ปานกลาง และ 7.0 ถึง 8.9 เป็น สูง ตัวเลขที่สูงขึ้นหมายถึงความมั่นใจและผลกระทบที่อาจเกิดขึ้นมากขึ้น จึงควรได้รับการจัดการก่อน

ผลการตรวจพบระดับสูงบ่งชี้ว่าทรัพยากรน่าจะถูกบุกรุกและกำลังทำงานในลักษณะเป็นอันตราย จึงต้องดำเนินการอย่างเร่งด่วน ระดับปานกลางบ่งชี้กิจกรรมที่น่าสงสัยและควรตรวจสอบ ระดับต่ำมักสะท้อนการลาดตระเวนหรือพฤติกรรมที่ผิดปกติแต่ยังไม่ก่ออันตราย ระดับความรุนแรงช่วยกำหนดความเร่งด่วน ไม่ได้ยืนยันแน่นอนว่าถูกเจาะระบบแล้ว

ผลการตรวจพบแต่ละรายการประกอบด้วยทรัพยากรที่ได้รับผลกระทบ ผู้กระทำ (เช่น IP ระยะไกลและตำแหน่งทางภูมิศาสตร์) การกระทำที่สังเกตพบ และจำนวนครั้งที่เกิดขึ้น การอ่านฟิลด์เหล่านี้จะเปลี่ยนการแจ้งเตือนเพียงบรรทัดเดียวให้เป็นเรื่องราวว่าใครทำอะไร กับทรัพยากรใด จากที่ไหน และบ่อยเพียงใด

ผลการตรวจพบจะติดตามการประทับเวลา ที่พบครั้งแรกและครั้งล่าสุด รวมถึงจำนวนครั้ง หากผลการตรวจพบเกิดซ้ำต่อเนื่องหลายชั่วโมง ย่อมร้ายแรงกว่าความผิดปกติที่เกิดขึ้นเพียงครั้งเดียว รายละเอียดด้านเวลานี้ช่วยให้คุณประเมินได้ว่าการโจมตียังดำเนินอยู่หรือไม่ ซึ่งมีผลอย่างมากต่อความเร็วที่ต้องใช้ในการควบคุมเหตุการณ์

วัตถุประสงค์ของภัยคุกคามมีผลต่อการตอบสนองของคุณ ผลการตรวจพบ CryptoCurrency บนอินสแตนซ์หมายถึงมีแนวโน้มว่าจะถูกใช้ขุดเหรียญ และควรแยกออกจากระบบ ผลการตรวจพบ UnauthorizedAccess บนผู้ใช้ IAM หมายถึงข้อมูลรับรองอาจถูกขโมย และควรหมุนเวียนคีย์ การจับคู่การตอบสนองกับวัตถุประสงค์คือหัวใจของการคัดแยกเบื้องต้น

คุณสามารถสร้าง กฎการยกเว้น เพื่อจัดเก็บผลการตรวจพบที่ตรงกับพฤติกรรมที่ทราบและคาดหมายโดยอัตโนมัติ เช่น เครื่องมือสแกนช่องโหว่ที่คุณตั้งใจใช้งาน วิธีนี้ช่วยให้คิวมุ่งเน้นไปที่สัญญาณจริง ผลการตรวจพบที่ถูกยกเว้นยังคงมีอยู่เพื่อการตรวจสอบย้อนหลัง แต่จะไม่รบกวนผู้ตอบสนองเหตุการณ์

GuardDuty สามารถสร้าง ตัวอย่างผลการตรวจพบ เพื่อให้คุณฝึกคัดแยกเบื้องต้นและทดสอบระบบอัตโนมัติโดยไม่ต้องมีการโจมตีจริง ฟีเจอร์นี้ช่วยให้ทีมสร้างและตรวจสอบคู่มือการตอบสนองได้อย่างปลอดภัย การทราบว่ามีฟีเจอร์นี้เป็นประโยชน์ต่อการตั้งค่ากระบวนการส่งต่อจากการตรวจจับไปสู่การตอบสนอง

ผลการตรวจพบที่จัดลำดับแล้วจะเข้าสู่กระบวนการตอบสนอง การบุกรุกอินสแตนซ์ระดับสูงอาจเรียกใช้การแยกอินสแตนซ์โดยอัตโนมัติ ขณะที่ผลการตรวจพบด้านตัวตนระดับปานกลางอาจส่งการแจ้งเตือนไปยังนักวิเคราะห์ ระดับความรุนแรงและประเภทร่วมกันจะกำหนดว่าควรให้ระบบอัตโนมัติหรือมนุษย์จัดการ รวมถึงควรดำเนินการเร็วเพียงใด

GuardDuty รวมการเกิดซ้ำของผลการตรวจพบเดียวกัน ไว้ในผลการตรวจพบรายการเดียว และอัปเดตจำนวนครั้งกับเวลาที่พบล่าสุด แทนการสร้างรายการซ้ำจำนวนมาก นอกจากนี้คุณยังสามารถกำหนดความถี่ในการเผยแพร่ผลการตรวจพบที่อัปเดตแล้วไปยัง EventBridge และ S3 ได้ วิธีนี้ช่วยให้คิวยังคงอ่านได้ง่าย พร้อมสะท้อนว่าการโจมตียังดำเนินอยู่

โดยค่าเริ่มต้น GuardDuty จะเก็บผลการตรวจพบไว้เป็นเวลา 90 วัน หากต้องการเก็บไว้นานกว่านั้นเพื่อการตรวจสอบย้อนหลังหรือวิเคราะห์แนวโน้ม คุณสามารถ ส่งออกผลการตรวจพบไปยังบักเก็ต S3 และกำหนดความถี่ในการส่งออกผลการตรวจพบใหม่ได้ การส่งผลการตรวจพบต่อไปยัง Security Hub และ EventBridge ยังช่วยเก็บรักษาและดำเนินการกับผลเหล่านั้นด้วย การทราบวิธีเก็บรักษาและส่งออกผลการตรวจพบมีความสำคัญในสถานการณ์ด้านการปฏิบัติตามข้อกำหนด

จัดลำดับผลการตรวจพบตามระดับความรุนแรง

GuardDuty กำหนด ระดับความรุนแรง ให้ผลการตรวจพบแต่ละรายการ (โดยคร่าว ๆ ต่ำ 1-3.9 ปานกลาง 4-6.9 สูง 7-8.9) พร้อมรายละเอียดเกี่ยวกับทรัพยากร ผู้กระทำ การกระทำ ตำแหน่งทางภูมิศาสตร์ และเวลา ให้จัดลำดับความสำคัญตาม ระดับความรุนแรงและผลกระทบ ใช้วัตถุประสงค์ของภัยคุกคามเพื่อเลือกการตอบสนอง และใช้กฎการยกเว้นเพื่อปิดเสียงสัญญาณรบกวนที่ทราบว่าไม่เป็นอันตราย ตัวอย่างผลการตรวจพบช่วยให้คุณฝึกซ้อมการคัดแยกเบื้องต้นได้อย่างปลอดภัย