GuardDuty 결과 집계

GuardDuty는 생성된 조사 결과를 동적으로 업데이트합니다. GuardDuty가 동일한 보안 문제와 관련된 새 활동을 감지하면 새 결과를 생성하는 대신 GuardDuty는 원래 결과를 최신 세부 정보로 업데이트합니다. 이 동작을 사용하면 여러 유사한 보고서를 살펴볼 필요 없이 진행 중인 문제를 식별할 수 있으며 알려진 보안 문제에 대한 전체 조사 결과 양을 줄일 수 있습니다.

예를 들어 UnauthorizedAccess:EC2/SSHBruteForce 조사 결과의 경우 인스턴스에 대한 여러 액세스 시도가 동일한 조사 결과 ID로 집계되어 조사 결과 세부 정보에서 개수가 증가합니다. 이는 결과가 인스턴스(즉, 인스턴스의 SSH 포트가 이러한 유형의 활동에 대해 제대로 보호되지 않음을 나타내는 경우)와 관련한 단일 보안 문제를 나타내기 때문입니다. 그러나 GuardDuty가 새 인스턴스를 대상으로 하는 SSH 액세스 활동을 환경에서 탐지하면 고유한 결과 ID를 이용해 새 결과를 생성하여 새 리소스와 연관된 보안 문제가 있음을 사용자에게 알립니다.

조사 결과가 집계되면 해당 활동의 최신 발생 정보로 업데이트됩니다. 즉, 위의 예에서 인스턴스가 새로운 작업자의 무차별 암호 대입 시도 대상인 경우 검색 세부 정보는 가장 최근 소스에 대한 원격 IP를 반영하기 위해 업데이트되며 이전 정보가 교체됩니다. 개별 활동 시도에 대한 전체 정보는 CloudTrail 로그 또는 VPC 흐름 로그에서 계속 사용할 수 있습니다.

기존 결과를 집계하는 대신 새 검색 결과를 생성하도록 GuardDuty에 알리는 조건은 결과 유형에 따라 다릅니다. 각 조사 결과 유형에 대한 집계 기준은 계정 내의 고유한 보안 문제에 대한 개요를 제공하기 위해 보안 엔지니어가 결정합니다.

GuardDuty가 계정에서 공격 시퀀스 조사 결과 유형을 생성할 때 GuardDuty가 계정에서 동일한 시퀀스에서 유사한 신호를 식별하는 경우에만 조사 결과가 집계됩니다. 그렇지 않으면 GuardDuty가 다른 공격 시퀀스를 생성합니다.