GuardDuty Surveillance du temps d'exécution

Runtime Monitoring observe et analyse les événements au niveau du système d'exploitation, du réseau et des fichiers pour vous aider à détecter les menaces potentielles dans des AWS charges de travail spécifiques de votre environnement.

AWS Ressources prises en charge dans le domaine de la surveillance du temps d'exécution : GuardDuty avait initialement publié Runtime Monitoring pour prendre en charge uniquement les ressources Amazon Elastic Kubernetes Service (Amazon EKS). Désormais, vous pouvez également utiliser la fonctionnalité Runtime Monitoring pour détecter les menaces pour vos ressources AWS Fargate Amazon Elastic Container Service (Amazon ECS) et Amazon Elastic Compute Cloud ( EC2Amazon).

GuardDuty ne prend pas en charge les clusters Amazon EKS exécutés sur AWS Fargate.

Dans ce document et dans d'autres sections relatives à la surveillance du temps d'exécution, GuardDuty utilise la terminologie du type de ressource pour faire référence aux ressources Amazon EKS, Fargate, Amazon ECS et EC2 Amazon.

La surveillance du temps d'exécution utilise un agent de GuardDuty sécurité qui ajoute de la visibilité sur le comportement d'exécution, comme l'accès aux fichiers, l'exécution des processus, les arguments de ligne de commande et les connexions réseau. Pour chaque type de ressource que vous souhaitez surveiller pour détecter les menaces potentielles, vous pouvez gérer l'agent de sécurité pour ce type de ressource spécifique automatiquement ou manuellement (à l'exception de Fargate (Amazon ECS uniquement)). La gestion automatique de l'agent de sécurité signifie que vous autorisez GuardDuty l'installation et la mise à jour de l'agent de sécurité en votre nom. D'autre part, lorsque vous gérez manuellement l'agent de sécurité pour vos ressources, vous êtes responsable de l'installer et de le mettre à jour, selon les besoins.

Cette fonctionnalité étendue GuardDuty peut vous aider à identifier et à répondre aux menaces potentielles susceptibles de cibler les applications et les données exécutées dans vos charges de travail et instances individuelles. Par exemple, une menace peut potentiellement commencer par compromettre un conteneur unique qui exécute une application Web vulnérable. Cette application Web peut disposer d'autorisations d'accès aux conteneurs et aux charges de travail sous-jacents. Dans ce scénario, des informations d'identification mal configurées peuvent potentiellement élargir l'accès au compte et aux données qui y sont stockées.

En analysant les événements d'exécution des conteneurs et des charges de travail individuels, GuardDuty vous pouvez identifier la compromission d'un conteneur et des AWS informations d'identification associées dans une phase initiale, et détecter les tentatives d'augmentation des privilèges, les demandes d'API suspectes et les accès malveillants aux données de votre environnement.