GuardDuty Rilevamento esteso delle minacce

Quando abiliti Amazon GuardDuty nel tuo account in uno specifico Regione AWS, anche Extended Threat Detection è abilitato per impostazione predefinita. Non sono previsti costi aggiuntivi associati all'utilizzo di Extended Threat Detection. Per impostazione predefinita, mette in correlazione tutti Origini dati fondamentali gli eventi. Tuttavia, abilitando più piani di GuardDuty protezione, come S3 Protection, si apriranno ulteriori tipi di rilevamenti delle sequenze di attacco ampliando la gamma di fonti di eventi. Ciò potrebbe contribuire a un'analisi delle minacce più completa e a un migliore rilevamento delle sequenze di attacco. Per ulteriori informazioni, consulta Abilita i piani di protezione correlati.

GuardDuty mette in correlazione più eventi, tra cui le attività e GuardDuty i risultati delle API. Questi eventi sono chiamati segnali. A volte, possono verificarsi eventi nell'ambiente che, di per sé, non si presentano come una potenziale minaccia evidente. GuardDuty li definisce segnali deboli. Con Extended Threat Detection, GuardDuty identifica quando una sequenza di più azioni si allinea a un'attività potenzialmente sospetta e genera una sequenza di attacco rilevata nel tuo account. Queste azioni multiple possono includere segnali deboli e GuardDuty risultati già identificati nel tuo account.

GuardDuty è inoltre progettato per identificare potenziali comportamenti di attacco in corso o recenti (entro una finestra temporale di 24 ore) nel tuo account. Ad esempio, un attacco potrebbe iniziare quando un attore accede involontariamente a un carico di lavoro di elaborazione. L'attore eseguirebbe quindi una serie di passaggi, tra cui l'enumerazione, l'aumento dei privilegi e l'esfiltrazione delle credenziali. AWS Queste credenziali potrebbero essere potenzialmente utilizzate per ulteriori compromissioni o accessi malintenzionati ai dati.

Per impostazione predefinita, la pagina Extended Threat Detection nella GuardDuty console mostra lo stato come Abilitato. Utilizza i seguenti passaggi per accedere alla pagina Extended Threat Detection nella GuardDuty console:

I risultati della sequenza di attacco sono identici agli altri GuardDuty risultati del tuo account. Puoi visualizzarli nella pagina Findings della GuardDuty console. Per informazioni sulla visualizzazione dei risultati, vederePagina dei risultati nella GuardDuty console.

Analogamente ad altri GuardDuty risultati, anche i risultati della sequenza di attacco vengono inviati automaticamente ad Amazon EventBridge. In base alle impostazioni, i risultati della sequenza di attacco vengono esportati anche in una destinazione di pubblicazione (bucket Amazon S3). Per impostare una nuova destinazione di pubblicazione o aggiornarne una esistente, consulta. Esportazione dei risultati generati in Amazon S3

GuardDuty Per rilevare una sequenza di attacco che potrebbe includere la compromissione dei dati nei bucket Amazon Simple Storage Service (Amazon S3), devi abilitare S3 Protection nel tuo account. Questo aiuta a GuardDuty correlare segnali più diversi su più fonti di dati. GuardDuty utilizza un piano di protezione S3 dedicato per identificare i risultati che potrebbero potenzialmente costituire una delle molteplici fasi di una sequenza di attacco. Ad esempio, con il solo rilevamento delle GuardDuty minacce di base, è GuardDuty possibile identificare una potenziale sequenza di attacco a partire dall'attività di individuazione dei privilegi IAM su Amazon APIs S3 e rilevare le successive alterazioni del piano di controllo S3, come le modifiche che rendono la policy delle risorse del bucket più permissiva. Quando abiliti S3 Protection, ne amplia l'ambito di rilevamento delle minacce. GuardDuty Inoltre, acquisisce la capacità di rilevare potenziali attività di esfiltrazione dei dati che possono verificarsi dopo che l'accesso al bucket S3 diventa più permissivo.

Se S3 Protection non è abilitato, GuardDuty non sarà in grado di generare dati individuali. Tipi di risultati di protezione S3 Pertanto, non GuardDuty sarà in grado di rilevare sequenze di attacchi in più fasi che coinvolgono risultati associati. Pertanto, non GuardDuty sarà in grado di generare sequenze di attacchi associate alla compromissione dei dati.