GuardDuty Überwachung der Laufzeit

Runtime Monitoring beobachtet und analysiert Ereignisse auf Betriebssystemebene, Netzwerk- und Dateiereignisse, um Ihnen zu helfen, potenzielle Bedrohungen in bestimmten AWS Workloads in Ihrer Umgebung zu erkennen.

Unterstützte AWS Ressourcen in Runtime Monitoring — GuardDuty hatte Runtime Monitoring ursprünglich veröffentlicht, um nur Amazon Elastic Kubernetes Service (AmazonEKS) -Ressourcen zu unterstützen. Jetzt können Sie die Runtime Monitoring-Funktion verwenden, um Bedrohungen auch für Ihre AWS Fargate Amazon Elastic Container Service- (AmazonECS) - und Amazon Elastic Compute Cloud (AmazonEC2) -Ressourcen zu erkennen.

GuardDuty unterstützt keine EKS Amazon-Cluster, die auf laufen AWS Fargate.

In diesem Dokument und anderen Abschnitten, die sich auf Runtime Monitoring beziehen, GuardDuty verwendet die Terminologie des Ressourcentyps, um sich auf EC2 Ressourcen von AmazonEKS, FargateECS, Amazon und Amazon zu beziehen.

Runtime Monitoring verwendet einen GuardDuty Security Agent, der Einblick in das Laufzeitverhalten wie Dateizugriff, Prozessausführung, Befehlszeilenargumente und Netzwerkverbindungen bietet. Für jeden Ressourcentyp, den Sie auf potenzielle Bedrohungen überwachen möchten, können Sie den Security Agent für diesen spezifischen Ressourcentyp entweder automatisch oder manuell verwalten (mit Ausnahme von Fargate (ECSnur Amazon)). Wenn Sie den Security Agent automatisch verwalten, erlauben Sie, GuardDuty den Security Agent in Ihrem Namen zu installieren und zu aktualisieren. Wenn Sie den Security Agent für Ihre Ressourcen jedoch manuell verwalten, sind Sie dafür verantwortlich, den Security Agent bei Bedarf zu installieren und zu aktualisieren.

Mit dieser erweiterten Funktion GuardDuty können Sie potenzielle Bedrohungen identifizieren und darauf reagieren, die möglicherweise auf Anwendungen und Daten abzielen, die in Ihren individuellen Workloads und Instanzen ausgeführt werden. Beispielsweise kann eine Bedrohung möglicherweise damit beginnen, dass ein einzelner Container kompromittiert wird, auf dem eine anfällige Webanwendung ausgeführt wird. Diese Webanwendung verfügt möglicherweise über Zugriffsberechtigungen für die zugrunde liegenden Container und Workloads. In diesem Szenario könnten falsch konfigurierte Anmeldeinformationen möglicherweise zu einem umfassenderen Zugriff auf das Konto und die darin gespeicherten Daten führen.

Durch die Analyse der Laufzeitereignisse der einzelnen Container und Workloads GuardDuty kann in einer Anfangsphase potenziell eine Kompromittierung eines Containers und der zugehörigen AWS Anmeldeinformationen erkannt und Versuche, Berechtigungen zu erweitern, verdächtige API Anfragen und böswillige Zugriffe auf die Daten in Ihrer Umgebung erkannt werden.