c2.8 Triar descobertas do GuardDuty e habilitar protection plans

Investigue além das descobertas críticas

Uma prática detetiva fundamental é triar a maioria das descobertas do Amazon GuardDuty, não apenas as críticas. Descobertas médias e baixas frequentemente revelam reconhecimento e tentativas iniciais de comprometimento. Por exemplo, uma descoberta de SSH brute force indica que um adversário está sondando um serviço SSH exposto; até uma tentativa malsucedida é um sinal para fechar esse vetor (por exemplo, administrar instâncias com Session Manager e remover portas de administração abertas dos security groups).

Habilite protection plans para maior cobertura

Os protection plans opcionais do GuardDuty ampliam o que ele pode detectar:

• Runtime Monitoring: um agente que observa a atividade dentro de cargas EC2, ECS e EKS, apontando o processo e o contêiner por trás do comportamento suspeito para isolar mais rápido.
• Malware Protection: escaneia volumes EBS de instâncias sinalizadas por uma descoberta, sem agente e sem impacto no desempenho; também disponível para o Amazon S3.
• S3 Protection: detecta acessos suspeitos aos seus buckets do S3.
• RDS Protection: sinaliza tentativas de login anômalas e de força bruta contra o Amazon Aurora e o RDS.
• EKS Protection e Lambda Protection: estendem a cobertura à atividade do control plane do Kubernetes e à atividade de rede do Lambda.

Correlacione com o Extended Threat Detection

O GuardDuty Extended Threat Detection correlaciona automaticamente eventos entre fontes de dados para expor sequências de ataque de múltiplas etapas como uma única descoberta. Habilitar mais protection plans amplia o leque de sequências que ele pode detectar.