c4.6 Construir inteligencia de amenazas
Forme una capacidad de inteligencia de amenazas que estudie amenazas locales y globales, actores, tácticas e indicadores de compromiso (IoCs), y luego alimente esa inteligencia en sus servicios de seguridad —listas de amenazas de GuardDuty, reglas de reputación de AWS WAF— para detectar y bloquear actividad conocida como maliciosa.
Guía de implementación
Estudie y luego realimente la inteligencia
Una función de inteligencia de amenazas estudia noticias de seguridad, actores de amenaza, tácticas e indicadores de compromiso (IoCs) y —crucialmente— alimenta lo aprendido en sus servicios de seguridad para que la detección mejore.
Enriquezca GuardDuty con sus propios IoCs
Amazon GuardDuty ya usa la inteligencia de Amazon más feeds de terceros y open source. Puede agregar sus propias listas de IP confiables y de IP de amenaza: por ejemplo IPs maliciosas vistas atacando su entorno on-premises, o IoCs de un feed comercial (como Talos, X-Force o Mandiant). Los formatos soportados incluyen texto plano, STIX y varios formatos de feed CSV.
Controles de reputación en el borde
Las reglas administradas de AWS WAF incluyen listas de reputación de IP de Amazon y de IP anónimas que reducen ataques de botnets y anonimizadores conocidos como maliciosos; los feeds de reputación de socios en el AWS Marketplace las extienden. La solución AWS WAF Security Automations agrega feeds como Spamhaus y Emerging Threats.
Genere sus propias señales
Un equipo maduro puede operar honeypots y señuelos para obtener inteligencia propia y fresca. Vea detectar actividad sospechosa con recursos señuelo privados.
Cómo validar
- ¿Alimenta indicadores de compromiso (por ejemplo de un CIRT local o de ataques a su on-premises) en las listas de amenazas de GuardDuty?
- ¿Los feeds de inteligencia de amenazas de terceros están integrados en su detección y su WAF?
- ¿Tiene una función de inteligencia de amenazas, y usa honeypots/señuelos para aprender sobre los adversarios?
Amenazas que atiende
- Sin inteligencia de amenazas actual alimentada en la detección, sus controles pasan por alto IPs, dominios y técnicas conocidas como maliciosas que otras organizaciones ya están viendo.
Servicios AWS
Amazon GuardDuty 
AWS WAF