GuardDuty monitoraggio del runtime

Runtime Monitoring osserva e analizza gli eventi a livello di sistema operativo, di rete e di file per aiutarti a rilevare potenziali minacce in carichi di AWS lavoro specifici del tuo ambiente.

AWS Risorse supportate in Runtime Monitoring: inizialmente GuardDuty aveva rilasciato Runtime Monitoring per supportare solo le risorse Amazon Elastic Kubernetes Service (Amazon). EKS Ora puoi utilizzare la funzionalità Runtime Monitoring per rilevare le minacce anche per le tue risorse AWS Fargate Amazon Elastic Container Service (AmazonECS) e Amazon Elastic Compute Cloud (AmazonEC2).

GuardDuty non supporta EKS i cluster Amazon in esecuzione su AWS Fargate.

In questo documento e in altre sezioni relative al Runtime Monitoring, GuardDuty utilizza la terminologia del tipo di risorsa per fare riferimento alle risorse AmazonEKS, Fargate ECS Amazon e EC2 Amazon.

Runtime Monitoring utilizza un agente di GuardDuty sicurezza che aggiunge visibilità al comportamento di runtime, come l'accesso ai file, l'esecuzione dei processi, gli argomenti della riga di comando e le connessioni di rete. Per ogni tipo di risorsa che desideri monitorare per rilevare potenziali minacce, puoi gestire l'agente di sicurezza per quel tipo di risorsa specifico automaticamente o manualmente (ad eccezione di Fargate (ECSsolo Amazon)). La gestione automatica del security agent significa che autorizzi GuardDuty l'installazione e l'aggiornamento del security agent per tuo conto. D'altra parte, quando gestisci manualmente il security agent per le tue risorse, sei responsabile dell'installazione e dell'aggiornamento del security agent, se necessario.

Grazie a questa funzionalità estesa, GuardDuty può aiutarvi a identificare e rispondere a potenziali minacce che possono colpire le applicazioni e i dati in esecuzione nei singoli carichi di lavoro e istanze. Ad esempio, una minaccia può iniziare potenzialmente compromettendo un singolo contenitore che esegue un'applicazione web vulnerabile. Questa applicazione Web potrebbe disporre delle autorizzazioni di accesso ai contenitori e ai carichi di lavoro sottostanti. In questo scenario, credenziali configurate in modo errato potrebbero potenzialmente portare a un accesso più ampio all'account e ai dati in esso archiviati.

Analizzando gli eventi di runtime dei singoli contenitori e carichi di lavoro, è GuardDuty possibile identificare eventuali violazioni di un container e delle relative AWS credenziali in una fase iniziale e rilevare tentativi di aumentare i privilegi, le API richieste sospette e l'accesso malevolo ai dati nell'ambiente.