GuardDuty Neyi, Neden Algılar

Amazon GuardDuty, AWS'nin yönetilen tehdit tespit hizmetidir. Ayırt edici özelliği, aracıya ve dağıtılacak yazılıma ihtiyaç duymamasıdır. Yalnızca etkinleştirirsiniz; ardından AWS telemetrisini kötü amaçlı veya yetkisiz davranışları bulmak için analiz etmeye başlar. Bu sayede hizmeti bir hesabın veya kuruluşun tamamında hızlıca kullanıma alabilirsiniz.

GuardDuty mevcut veri kaynaklarını sürekli alıp analiz eder; ardından şüpheli etkinlikleri bulmak için tehdit istihbaratı, anormallik tespiti ve makine öğrenimi uygular. AWS'nin zaten ürettiği günlükleri okuduğu için iş yüklerinizi değiştirmeden tespit olanağı ekler. Tamamen yönetilen bir hizmet olarak çalışır.

GuardDuty tehditleri tespit etmek için hesap ve ağ etkinliklerini analiz eder. Keşif faaliyetlerini, güvenliği ihlal edilmiş örnekleri ve olağandışı hesap davranışlarını fark edebilir. Örnek olarak bir örneğin bilinen kötü amaçlı bir IP ile iletişim kurması, kimlik bilgilerinin alışılmadık bir konumdan kullanılması veya güvenlik günlüklemesini devre dışı bırakma girişimi verilebilir.

GuardDuty, bilinen kötü amaçlı IP adresleri ve alan adlarının listelerinden oluşan AWS ve üçüncü taraf tehdit istihbaratı akışlarından yararlanır. Kaynaklarınız bunlardan biriyle iletişim kurduğunda bir bulgu oluşturur. Tespiti ortamınıza göre ayarlamak için kendi güvenilir IP ve tehdit listelerinizi de sağlayabilirsiniz.

GuardDuty, bilinen kötü amaçlı listelerin ötesinde hesabınızın normal davranışını öğrenir ve anormallikleri işaretler. Yeni bir ülkeden yapılan API çağrısı, etkinlikte alışılmadık bir artış veya daha önce hiç kullanılmadığı biçimde kullanılan bir rol bulguları tetikleyebilir. Bu özellik, hiçbir engelleme listesinin bilemeyeceği yeni saldırıları yakalar.

Önemli bir nokta: GuardDuty tespit eder ve uyarır; engelleme yapmaz. Gördüklerini açıklayan bulgular üretir. Bir bulguya göre işlem yapmak için onu EventBridge'in bir düzeltme işlemini tetiklemesi gibi bir otomasyona bağlarsınız. Tespit ile önleme arasındaki bu ayrım sınavlarda sıkça sorulur.

GuardDuty, tüm AWS Organization genelindeki tespiti yöneten bir yetkilendirilmiş yönetici hesabını destekler. Tek bir güvenlik hesabı her üye hesabı için GuardDuty'yi etkinleştirebilir ve tüm bulguları merkezi olarak görüntüleyebilir. Böylece her hesabı elle yapılandırmadan tespiti büyük ölçekte uygulayabilirsiniz.

Aracı, sunucu veya oluşturulması gereken günlükleme işlem hatları olmadığından GuardDuty'yi çalıştırmanın işletim maliyeti çok düşüktür. Ücret, analiz edilen veri hacmine göre belirlenir. Kuruluşların bunu genellikle ilk etkinleştirdiği tespit hizmeti yapan, bu düşük uğraşlı modeldir.

GuardDuty bulguları, toplama için doğal olarak Security Hub'a, araştırma için Detective'e ve yanıt için EventBridge'e aktarılır. GuardDuty, tek başına çalışan bir araçtan ziyade daha büyük bir tehdit yanıtı işlem hattının merkezindeki algılama motorudur.

GuardDuty'yi güvenilen IP listeleri (hiçbir zaman işaretlenmesini istemediğiniz adresler) ve tehdit IP listeleri (her zaman işaretlenmesini istediğiniz adresler) ile ayarlayabilir, ayrıca beklenen bulguları arşivlemek için bastırma kuralları ekleyebilirsiniz. Bu ayarlama gürültüyü azaltarak analiz uzmanlarının gerçek tehditlere odaklanmasını sağlar. Sınavda GuardDuty'nin sabit bir kara kutu değil, ortama göre ayarlanabilen bir hizmet olduğunu bilmeniz beklenir.

GuardDuty'yi Amazon Inspector ile karıştırmayınız. GuardDuty, etkin tehditleri ve saldırıları algılamak için canlı etkinliği izler. Inspector ise tehditler istismar edilmeden önce, güncellenmemiş yazılımlar ve riskli ağ erişilebilirliği gibi güvenlik açıklarını tarar. Biri çalışma zamanı tehdit algılaması, diğeri güvenlik açığı değerlendirmesidir; sınavda çoğu zaman belirli bir amaç için hangisinin seçileceği sorulur.

GuardDuty, mevcut AWS telemetrilerini tehdit istihbaratı, anomali algılama ve makine öğrenimiyle analiz eden, aracısız ve yönetilen bir tehdit algılama hizmetidir. Bulgular aracılığıyla uyarı verir ancak engelleme yapmaz; düzeltme için otomasyon gerekir. Bir yetkili yönetici, hizmeti bir Organization genelinde etkinleştirir ve bulguları Security Hub, Detective ve EventBridge'e aktarılır.