GuardDuty Veri Kaynakları ve Bulgu Türleri

GuardDuty sensör yüklemez; AWS'nin zaten oluşturduğu günlükleri analiz eder. Temel veri kaynakları CloudTrail yönetim olayları, VPC Flow Logs ve DNS sorgu günlükleridir. Bu üç akıştan hesap, ağ ve ad çözümleme etkinliklerini yeniden oluşturarak tehditleri araştırır.

CloudTrail yönetim olaylarını okuyarak GuardDuty, hesabınızda yapılan API çağrılarını görür. Bu sayede olağandışı API etkinliği, alışılmadık bir konumdan kullanılan kimlik bilgileri veya günlük kaydını devre dışı bırakma girişimleri gibi kimlik tehditlerini algılayabilir. Ayrıca isteğe bağlı bir kaynak olarak CloudTrail S3 veri olaylarını da analiz eder.

GuardDuty, VPC Flow Logs üzerinden bilinen kötü amaçlı IP adresleriyle iletişim de dahil olmak üzere ağ bağlantılarını gözlemler. Flow Logs'u kendiniz etkinleştirmemiş olsanız bile bunu yapabilir; çünkü temel ağ verilerini bağımsız olarak okur. Böylece örneklerin komuta ve kontrol sunucularına dışarıya doğru bağlantı kurması yakalanır.

GuardDuty, kötü amaçlı yazılım etki alanlarına yapılan sorgular veya DNS üzerinden veri dışarı çıkarma belirtileri gibi şüpheli etki alanı aramalarını fark etmek için DNS sorgu günlüklerini inceler. Bu özellik, varsayılan AWS DNS çözümleyicisini kullanan örneklerde çalışır. Olağandışı DNS örüntüleri, güvenliğin ihlal edildiğinin güçlü bir göstergesidir.

Temel kaynakların yanı sıra GuardDuty, eklenti olarak koruma planları sunar: S3 Protection, EKS (Kubernetes) Protection, Malware Protection, RDS Protection ve Lambda Protection. Her plan, algılamayı belirli bir hizmete genişletir ve ilgili iş yüküne yönelik tehditleri bulmak için o hizmetin etkinliğini analiz eder.

GuardDuty bulguları, açıkladıkları duruma göre kategorilere ayrılır. Keşif bulguları yoklama ve tarama etkinliklerini gösterir. Örnek güvenliğinin ihlal edilmesi bulguları, bir iş yükünün kötü amaçlı davrandığını gösterir. Hesabın güvenliğinin ihlal edilmesi bulguları ise kimlik bilgilerinin şüpheli kullanımını veya yapılandırma değişikliklerini gösterir.

Her bulgu, Recon:EC2/PortProbeUnprotectedPort veya UnauthorizedAccess:IAMUser/MaliciousIPCaller gibi yapılandırılmış bir tür içerir. Biçim ThreatPurpose:ResourceType/ThreatName şeklindedir. Bu biçimi çözümlemek, amacı, etkilenen kaynağı ve algılanan belirli davranışı anlamanızı sağlar.

Bir bulgudaki kaynak türü (EC2, IAMUser, S3Bucket, Kubernetes), neyin etkilendiğini gösterir. Tehdit amacı (Recon, UnauthorizedAccess, CryptoCurrency, Trojan, Backdoor), saldırganın olası hedefini belirtir. İkisi birlikte, hızlı bir önceliklendirme yapmanızı sağlar.

Yaygın bulgular arasında güvenliği ihlal edilmiş bir örnekte kripto para madenciliği, açığa çıkmış bir erişim anahtarının kötü amaçlı kullanılması, bağlantı noktası taraması ve kaynaklarınıza bağlanan bir Tor çıkış düğümü bulunur. Bu tipik türleri tanımak, her bulguya aynı şekilde yaklaşmak yerine uygun yanıtı vermenize yardımcı olur.

Malware Protection planı, bir bulgu tarafından işaretlenen örneğin EBS birimlerini tarayarak herhangi bir şey yüklemenize gerek kalmadan kötü amaçlı yazılım arayabilir. Şüpheyi doğrulamak veya güçlendirmek için kendi kötü amaçlı yazılım bulgularını oluşturur. Bu aracısız tarama, temel bir bulgu örneğin etkilenmiş olabileceğini gösterdiğinde yararlı bir eklentidir.

Sıkça sınanan bir ayrıntı şudur: GuardDuty, temel kaynaklarını bağımsız olarak okur. GuardDuty'nin bu etkinliği analiz etmesi için CloudTrail'i, Flow Logs'u veya DNS günlük kaydını kendiniz etkinleştirmeniz gerekmez; ayrıca bu durum sizin günlük kopyalarınızı etkilemez veya bunlar için ücret oluşturmaz. GuardDuty'nin açıldığı anda algılamaya başlayabilmesinin nedeni budur.

Tehditleri veri kaynaklarıyla eşleştiriniz.

GuardDuty'nin temel veri kaynakları CloudTrail (kimlik ve API etkinliği), VPC Flow Logs (ağ bağlantıları) ve DNS günlükleridir (şüpheli aramalar). Bunlara S3, EKS, RDS, Lambda ve kötü amaçlı yazılım için isteğe bağlı koruma planları eklenir. Bulgular ThreatPurpose:ResourceType/ThreatName biçimini kullanır; böylece amacı ve etkilenen kaynağı temel alarak önceliklendirme yapabilirsiniz.