GuardDuty menemukan agregasi

GuardDuty memperbarui temuan yang dihasilkan secara dinamis. Jika GuardDuty mendeteksi aktivitas baru yang terkait dengan masalah keamanan yang sama, maka alih-alih membuat temuan baru, GuardDuty akan memperbarui temuan asli dengan detail terbaru. Perilaku ini memungkinkan Anda untuk mengidentifikasi masalah yang sedang berlangsung, tanpa perlu melihat melalui beberapa laporan serupa, dan mengurangi volume keseluruhan temuan untuk masalah keamanan yang diketahui.

Sebagai contoh, untuk UnauthorizedAccess:EC2/SSHBruteForce menemukan, beberapa upaya akses terhadap instance Anda akan digabungkan ke ID temuan yang sama, meningkatkan jumlah Hitungan dalam detail temuan. Ini karena temuan itu mewakili masalah keamanan tunggal dengan instance yang menunjukkan bahwa SSH port pada instance tidak diamankan dengan benar terhadap jenis aktivitas ini. Namun, jika GuardDuty mendeteksi aktivitas SSH akses yang menargetkan instance baru di lingkungan Anda, itu akan membuat temuan baru dengan ID temuan unik untuk mengingatkan Anda tentang fakta bahwa ada masalah keamanan yang terkait dengan sumber daya baru.

Ketika sebuah temuan dikumpulkan, itu diperbarui dengan informasi dari kejadian terbaru dari aktivitas itu. Ini berarti bahwa dalam contoh di atas, jika instans Anda adalah target upaya brute force dari aktor baru, detail temuan akan diperbarui untuk mencerminkan IP jarak jauh dari sumber terbaru dan informasi lama akan diganti. Informasi lengkap tentang upaya aktivitas individu akan tetap tersedia di CloudTrail log atau Log VPC Aliran Anda.

Kriteria yang mengingatkan GuardDuty untuk menghasilkan temuan baru alih-alih menggabungkan yang sudah ada tergantung pada jenis temuan. Kriteria agregasi untuk setiap jenis temuan ditentukan oleh teknisi keamanan kami untuk memberikan gambaran umum tentang masalah keamanan yang berbeda dalam akun Anda.

Saat GuardDuty menghasilkan jenis pencarian urutan serangan di akun Anda, temuan akan dikumpulkan hanya ketika Anda GuardDuty mengidentifikasi sinyal serupa dalam urutan yang sama di akun Anda. Jika tidak, GuardDuty akan menghasilkan urutan serangan lain.