GuardDuty Bulgularını Okuma ve Önceliklendirme

Yoğun bir hesap çok sayıda bulgu oluşturabilir ve bunların hepsi aynı derecede önemli değildir. İyi yanıt verebilmek için önceliklendirme yapmalı, önce gerçek zarara yol açma olasılığı en yüksek tehditlere odaklanmalısınız. GuardDuty, önce nereye bakmanız gerektiğini belirlemenize yardımcı olan önem derecesi puanları ve ayrıntılı bulgu bilgileri sunar.

Her GuardDuty bulgusunun 0,1 ile 8,9 ve üzeri arasında bir önem derecesi değeri vardır ve bu değer düzeylerle eşleştirilir. Genel olarak 1,0-3,9 arası Düşük, 4,0-6,9 arası Orta ve 7,0-8,9 arası Yüksek düzeydedir. Daha yüksek sayılar daha fazla güven ve olası etki anlamına gelir; bu nedenle bu bulgular öncelikli olarak ele alınır.

Yüksek önem dereceli bir bulgu, bir kaynağın büyük olasılıkla güvenliğinin ihlal edildiğini ve kötü amaçlı davrandığını gösterir; acil müdahale gerekir. Orta düzey, araştırılmaya değer şüpheli etkinliğe işaret eder. Düşük düzey ise çoğu zaman keşif etkinliğini veya henüz zararlı olmayan olağandışı davranışları yansıtır. Önem derecesi aciliyeti gösterir; ihlalin kesinliğini değil.

Her bulgu; etkilenen kaynağı, aktörü (uzak bir IP ve coğrafi konumu gibi), gözlemlenen eylemi ve bunun kaç kez gerçekleştiğini gösteren sayıyı içerir. Bu alanları okumak, tek satırlık bir uyarıyı bir öyküye dönüştürür: kim, hangi kaynağa, nereden, ne yaptı ve bunu ne sıklıkta yaptı?

Bulgular ilk ve son görülme zaman damgalarını ve bir sayacı izler. Saatler boyunca tekrarlanan bir bulgu, tek seferlik kısa bir olaydan daha ciddidir. Bu zamanlama ayrıntıları, saldırının devam edip etmediğini değerlendirmenize yardımcı olur; bu da saldırıyı ne kadar hızlı sınırlamanız gerektiğini büyük ölçüde etkiler.

Tehdit amacı vereceğiniz yanıtı şekillendirir. Bir örnekteki CryptoCurrency bulgusu olası madenciliğe işaret eder ve örneğin yalıtılmasını gerektirir. Bir IAM kullanıcısındaki UnauthorizedAccess bulgusu, bir kimlik bilgisinin çalınmış olabileceğini gösterir ve anahtarların yenilenmesini gerektirir. Yanıtı amaca göre eşleştirmek, önceliklendirme sürecinin temelidir.

Bilerek çalıştırdığınız bir güvenlik açığı tarayıcısı gibi bilinen ve beklenen davranışlarla eşleşen bulguları otomatik olarak arşivlemek için bastırma kuralları oluşturabilirsiniz. Bu, kuyruğun gerçek sinyallere odaklanmasını sağlar. Bastırılan bulgular denetim amacıyla varlığını korur ancak müdahale eden kişilerin dikkatini dağıtmaz.

GuardDuty, gerçek bir saldırı olmadan önceliklendirme yapabilmeniz ve otomasyonunuzu test edebilmeniz için örnek bulgular oluşturabilir. Böylece ekipler yanıt kılavuzlarını güvenli bir şekilde oluşturup doğrulayabilir. Bu özelliğin varlığını bilmek, algılamadan yanıta uzanan işlem hatlarını kurarken yararlıdır.

Önceliklendirilmiş bulgular bir yanıt sürecine aktarılır: örneğin yüksek önem dereceli bir güvenlik ihlali otomatik yalıtmayı tetikleyebilirken orta düzeydeki bir kimlik bulgusu bir analiz uzmanına bildirim gönderebilir. Önem derecesi ve tür birlikte, işlemi otomasyonun mu yoksa bir insanın mı gerçekleştireceğini ve bunun ne kadar hızlı yapılacağını belirler.

GuardDuty, aynı bulgunun tekrarlanan oluşumlarını toplar ve çok sayıda yinelenen bulgu oluşturmak yerine tek bir bulgunun sayısını ve son görülme zamanını günceller. Güncellenen bulguların EventBridge'e ve S3'e ne sıklıkta yayımlanacağını da yapılandırabilirsiniz. Böylece kuyruk okunabilir kalırken saldırının devam ettiği bilgisi korunur.

Varsayılan olarak GuardDuty bulguları 90 gün boyunca saklanır. Bunları denetim veya eğilim analizi için daha uzun süre korumak amacıyla bulguları bir S3 bucket'ına dışa aktarabilir ve yeni bulguların ne sıklıkta dışa aktarılacağını yapılandırabilirsiniz. Bulguları Security Hub ve EventBridge'e göndermek de bunların korunmasını ve işleme alınmasını sağlar. Bulguların nasıl saklandığını ve dışa aktarıldığını bilmek, uyumluluk senaryoları açısından önemlidir.

Bulguları önem derecesine göre önceliklendiriniz.

GuardDuty her bulguya bir önem derecesi atar (yaklaşık olarak Düşük 1-3,9, Orta 4-6,9, Yüksek 7-8,9); ayrıca kaynak, aktör, eylem, coğrafi konum ve zamanlama ayrıntılarını sunar. Önem derecesine ve etkiye göre önceliklendirme yapınız, yanıtı seçmek için tehdit amacını kullanınız ve bilinen zararsız gürültüyü susturmak için bastırma kurallarından yararlanınız. Örnek bulgular, önceliklendirme çalışmasını güvenli biçimde prova etmenizi sağlar.