Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
A ogni GuardDuty risultato è assegnato un livello di gravità e un valore che riflettono il rischio potenziale che il risultato potrebbe comportare per l'ambiente dell'utente, secondo quanto stabilito dai nostri tecnici della sicurezza. Il valore della gravità può rientrare in un intervallo compreso tra 1,0 e 10,0, mentre valori più alti indicano un rischio maggiore per la sicurezza. Per aiutarti a determinare una risposta a un potenziale problema di sicurezza evidenziato da un risultato, GuardDuty suddividi questo intervallo in livelli di gravità critico, alto, medio e basso.
Un risultato di un tipo particolare può avere una gravità diversa a seconda del contesto specifico del risultato. Per visualizzare un elenco consolidato dei livelli di gravità predefiniti per tutti i tipi GuardDuty di risultati, vedereGuardDuty tipi di ricerca attivi.
Le sezioni seguenti spiegano i livelli di gravità definiti per i GuardDuty risultati.
Gravità critica
Intervallo di valori: 9,0 - 10,0
Descrizione: un livello di gravità critico indica che una sequenza di attacco potrebbe essere in corso o essere avvenuta di recente. Una o più AWS risorse, come le credenziali di accesso degli utenti IAM e il bucket Amazon S3, sono potenzialmente compromesse o potrebbero essere già state compromesse.
Raccomandazione: GuardDuty consiglia di dare priorità alla valutazione e alla correzione di tutte le rilevazioni di gravità critica, poiché questi problemi possono far parte di un attacco ransomware e possono aggravarsi in qualsiasi momento. Visualizza i dettagli sulle risorse coinvolte e inizia a risolvere i problemi di sicurezza. Per ulteriori informazioni, consulta Correzioni degli esiti.
Severità elevata
Intervallo di valori: 7,0 - 8,9
Descrizione: un livello di severità elevato indica che la risorsa in questione (un' EC2 istanza Amazon o un set di credenziali di accesso utente IAM) è compromessa e viene utilizzata attivamente per scopi non autorizzati.
Raccomandazione: GuardDuty consiglia di considerare prioritario qualsiasi problema di sicurezza di rilevazione di elevata gravità e di adottare misure correttive immediate per prevenire un ulteriore utilizzo non autorizzato delle risorse. Ad esempio, pulisci l' EC2 istanza Amazon o terminala o ruota le credenziali IAM. Segui i passaggi indicati Correzioni degli esiti per correggere il risultato.
Gravità media
Intervallo di valori: 4,0 - 6,9
Descrizione: un livello di gravità medio indica un'attività sospetta che si discosta dal comportamento normalmente osservato e, a seconda del caso d'uso, può essere indicativa di una compromissione delle risorse.
Raccomandazione: GuardDuty consiglia di esaminare la risorsa potenzialmente interessata il prima possibile. Le fasi di riparazione varieranno in base alla risorsa e alla ricerca di una famiglia. Un approccio consolidato consiste nel confermare che l'attività è autorizzata e coerente con il caso d'uso. Se non riesci a identificare la causa o a confermare che l'attività è stata autorizzata, dovresti considerare la risorsa compromessa. Segui i passaggi indicati Correzioni degli esiti per correggere il problema.
Ecco alcuni aspetti da considerare quando si esamina un risultato di medio livello:
-
Controlla se un utente autorizzato ha installato un nuovo software che ha modificato il comportamento di una risorsa (ad esempio, consentito un traffico da alto a normale o abilitato le comunicazioni su una nuova porta).
-
Controlla se un utente autorizzato ha modificato le impostazioni del piano di controllo, ad esempio ha modificato un'impostazione del gruppo di sicurezza.
-
Esegui una scansione antivirus sulla risorsa coinvolta per rilevare il software non autorizzato.
-
Verifica le autorizzazioni collegate a ruolo, utente, gruppi o un set di credenziali IAM coinvolti. Queste potrebbero essere modificate o ruotate.
Bassa severità
Intervallo di valori: 1,0 - 3,9
Descrizione: un livello di gravità basso indica un tentativo di attività sospetta che non ha compromesso l'ambiente, ad esempio una scansione delle porte o un tentativo di intrusione fallito.
Raccomandazione: non esiste un'azione immediata consigliata, ma vale la pena prendere nota di queste informazioni in quanto potrebbero indicare che qualcuno sta cercando punti deboli nell'ambiente in uso.
