Monitoramento do tempo de execução GuardDuty

O Runtime Monitoring observa e analisa eventos em nível de sistema operacional, rede e arquivos para ajudá-lo a detectar possíveis ameaças em cargas de AWS trabalho específicas em seu ambiente.

GuardDuty lançou inicialmente o Runtime Monitoring para oferecer suporte somente aos recursos do Amazon Elastic Kubernetes Service (Amazon EKS). No entanto, agora você também pode usar o recurso Runtime Monitoring para fornecer detecção de ameaças para seus recursos do AWS Fargate Amazon Elastic Container Service (Amazon ECS) e do Amazon Elastic Compute Cloud (Amazon EC2).

Neste documento e em outras seções relacionadas ao Runtime Monitoring, GuardDuty usa a terminologia do tipo de recurso para se referir aos recursos do Amazon EKS, do Fargate, do Amazon ECS e do Amazon EC2.

O Runtime Monitoring usa um agente de GuardDuty segurança que adiciona visibilidade ao comportamento do tempo de execução, como acesso a arquivos, execução de processos, argumentos de linha de comando e conexões de rede. Para cada tipo de recurso que você deseja monitorar para possíveis ameaças, você pode gerenciar o agente de segurança para esse tipo de recurso específico de forma automática ou manual (com exceção do Fargate (somente Amazon ECS)). Gerenciar o agente de segurança automaticamente significa que você permite GuardDuty instalar e atualizar o agente de segurança em seu nome. Por outro lado, ao gerenciar manualmente o agente de segurança de seus recursos, você é responsável por instalar e atualizar o agente de segurança, conforme necessário.

Com esse recurso estendido, GuardDuty pode ajudá-lo a identificar e responder a possíveis ameaças que podem atingir aplicativos e dados em execução em suas cargas de trabalho e instâncias individuais. Por exemplo, uma ameaça pode começar comprometendo um único contêiner que executa um aplicativo Web vulnerável. Esse aplicativo Web pode ter permissões de acesso aos contêineres e workloads subjacentes. Nesse cenário, credenciais configuradas incorretamente podem levar a um acesso mais amplo à conta e aos dados nela armazenados.

Ao analisar os eventos de tempo de execução dos contêineres e cargas de trabalho individuais, é GuardDuty possível identificar o comprometimento de um contêiner e das AWS credenciais associadas em uma fase inicial e detectar tentativas de escalar privilégios, solicitações de API suspeitas e acesso malicioso aos dados em seu ambiente.