GuardDuty 拡張脅威検出

特定の GuardDuty のアカウントで Amazon を有効にすると AWS リージョン、拡張脅威検出もデフォルトで有効になります。拡張脅威検出の使用に関連する追加コストはありません。デフォルトでは、すべての のイベントを関連付けます基礎データソース。ただし、S3 Protection など、より多くの GuardDuty 保護プランを有効にすると、イベントソースの範囲を広げることで、追加のタイプの攻撃シーケンス検出が開かれます。これは、より包括的な脅威分析と攻撃シーケンスの検出の向上に役立つ可能性があります。詳細については、「関連する保護プランを有効にする」を参照してください。

GuardDuty は、APIアクティビティや GuardDuty 検出結果など、複数のイベントを関連付けます。これらのイベントは Signals と呼ばれます。環境内で、それ自体が明確な潜在的な脅威として表現されないイベントが発生する場合があります。 はそれらを弱いシグナルと GuardDuty 呼んでいます。拡張脅威検出では、複数のアクションのシーケンスが疑わしいアクティビティと一致するかどうか GuardDuty を識別し、アカウントに攻撃シーケンスの検出結果を生成します。これらの複数のアクションには、弱いシグナルや、アカウントで既に特定された GuardDuty 検出結果が含まれる場合があります。

GuardDuty また、 は、アカウントで進行中の動作や最近の攻撃動作 (24 時間のローリング時間枠内) を特定するように設計されています。例えば、攻撃者がコンピューティングワークロードへの意図しないアクセスを取得すると、攻撃が開始する可能性があります。アクターは、列挙、権限のエスカレーション、 AWS 認証情報の流出など、一連のステップを実行します。これらの認証情報は、さらなる侵害やデータへの悪意のあるアクセスに使用される可能性があります。

デフォルトでは、コンソールの拡張脅威検出ページには GuardDuty 、ステータスが有効と表示されます。コンソールで拡張脅威検出ページにアクセスするには、次のステップを実行します GuardDuty 。

攻撃シーケンスの検出結果は、アカウント内の他の GuardDuty 検出結果と同じです。これらは、 GuardDuty コンソールの検出結果ページで表示できます。結果の表示については、「」を参照してくださいコンソールの検出結果ページ GuardDuty 。

他の GuardDuty 検出結果と同様に、攻撃シーケンスの検出結果も Amazon に自動的に送信されます EventBridge。設定に基づいて、攻撃シーケンスの検出結果は発行先 (Amazon S3 バケット) にもエクスポートされます。新しい発行先を設定するか、既存の発行先を更新するには、「」を参照してください生成された検出結果を Amazon S3 にエクスポートする。

GuardDuty が Amazon Simple Storage Service (Amazon S3) バケット内のデータ侵害を含む可能性のある攻撃シーケンスを検出するには、アカウントで S3 Protection を有効にする必要があります。これにより、複数のデータソース間でより多様なシグナルを GuardDuty 関連付けることができます。 は専用の S3 Protection プラン GuardDuty を使用して、攻撃シーケンスの複数のステージの 1 つである可能性がある検出結果を特定します。例えば、 GuardDuty 基本的な脅威の検出のみでは、 は Amazon S3 IAM での特権検出アクティビティから潜在的な攻撃シーケンスを特定しAPIs、バケットリソースポリシーをより寛容にする変更など、その後の S3 コントロールプレーンの変更を検出 GuardDuty できます。S3 Protection を有効にすると、 はその脅威検出範囲 GuardDuty を拡張します。また、S3 バケットへのアクセスがより許容的になった後に発生する可能性のあるデータ流出アクティビティを検出する機能も得られます。

S3 Protection が有効になっていない場合、 は個々の を生成 GuardDuty できませんS3 Protection の検出結果タイプ。したがって、 は関連する検出結果を含む複数ステージの攻撃シーケンスを検出 GuardDuty できません。したがって、 はデータの侵害に関連する攻撃シーケンスを生成 GuardDuty できません。