c2.8 Clasificar hallazgos de GuardDuty y habilitar protection plans

Investigue más allá de los hallazgos críticos

Una práctica detective fundamental es clasificar la mayoría de los hallazgos de Amazon GuardDuty, no solo los críticos. Los hallazgos medios y bajos a menudo revelan reconocimiento e intentos tempranos de compromiso. Por ejemplo, un hallazgo de SSH brute force indica que un adversario está sondeando un servicio SSH expuesto; incluso un intento fallido es una señal para cerrar ese vector (por ejemplo, administrar instancias con Session Manager y quitar puertos de administración abiertos de los security groups).

Habilite protection plans para mayor cobertura

Los protection plans opcionales de GuardDuty amplían lo que puede detectar:

• Runtime Monitoring: un agente que observa la actividad dentro de cargas EC2, ECS y EKS, señalando el proceso y contenedor detrás del comportamiento sospechoso para aislar más rápido.
• Malware Protection: escanea volúmenes EBS de instancias marcadas por un hallazgo, sin agente y sin impacto en el rendimiento; también disponible para Amazon S3.
• S3 Protection: detecta accesos sospechosos a sus buckets de S3.
• RDS Protection: marca intentos de login anómalos y de fuerza bruta contra Amazon Aurora y RDS.
• EKS Protection y Lambda Protection: extienden la cobertura a la actividad del plano de control de Kubernetes y a la actividad de red de Lambda.

Correlacione con Extended Threat Detection

GuardDuty Extended Threat Detection correlaciona automáticamente eventos entre fuentes de datos para exponer secuencias de ataque de múltiples etapas como un solo hallazgo. Habilitar más protection plans amplía el rango de secuencias que puede detectar.