Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Regole di rilevamento personalizzate in GuardDuty
Le regole di rilevamento personalizzate forniscono una libreria di regole predefinite che rilevano le attività che non ti aspetti si verifichino nel tuo AWS ambiente. GuardDuty crea e mantiene queste regole e le descrive utilizzando un vocabolario consolidato sulle tecniche di minaccia tratto da cataloghi come MITRE ATT&CK® e il Threat Technique Catalog. AWS È possibile attivare ogni regola per l'attività che si desidera rilevare, in modalità dry run per misurarla prima o in modalità live per generare risultati.
I team di sicurezza spesso sanno che determinate azioni non devono essere eseguite in account specifici. Un'azione come la condivisione di un'AMI, l'eliminazione dei log di flusso di VPC o l'accesso senza MFA può essere di routine in un account e un segno di compromissione in un altro. La maggior parte dei GuardDuty risultati identifica attività sospette in qualsiasi ambiente. Le regole di rilevamento personalizzate consentono di rilevare attività sospette solo negli account in cui non te le aspetti.
Le regole di rilevamento personalizzate utilizzano i seguenti concetti:
- Regola
-
Un rilevamento predefinito che GuardDuty possiede e mantiene. Ogni regola si rivolge a una tecnica di minaccia e definisce le condizioni che ne determinano la corrispondenza.
- Associazione
-
Il collegamento tra una regola e un account. Un'associazione registra la modalità di esecuzione della regola per quell'account. Una regola senza associazione non viene valutata.
- Mode (Modalità)
-
Il comportamento di una regola associata quando corrisponde all'attività. Ogni regola supporta due modalità:
-
In tempo reale: GuardDuty genera un risultato quando la regola corrisponde all'attività. La modalità live non scade.
-
Dry run: GuardDuty valuta la regola ed emette i CloudWatch parametri di Amazon ma non genera risultati. Usa il dry run per misurare il volume del segnale prima di passare al rilevamento in tempo reale. GuardDuty emette queste metriche solo quando la regola corrisponde a un evento, quindi una regola che non corrisponde mai non produce metriche a secco. La corsa a secco scade automaticamente dopo 14 giorni.
-
- Configurazione dell'organizzazione
-
Una configurazione di regole che l'account GuardDuty amministratore delegato applica agli account dei membri di un'organizzazione. GuardDuty crea le singole associazioni in ogni account di destinazione, inclusi gli account che si uniscono in un secondo momento. Per ulteriori informazioni, consulta Gestione delle regole di rilevamento personalizzate in ambienti con più account.
- Segnale
-
Una ricorrenza osservata dell'attività rilevata da una regola. GuardDutyaggrega i segnali che condividono una tattica, un servizio e una tecnica in un unico risultato.
Argomenti
