c3.7 Adicione detecção de ameaças personalizada
O Amazon GuardDuty cobre muitas ameaças mas não consegue expressar seus casos de uso personalizados. Para esses, identifique o caso de uso, centralize as fontes de logs, correlacione-as em detecções categorizadas e alerte. O Amazon Security Lake e um SIEM são os blocos de construção.
Guia de implementação
Quando você precisa de detecção personalizada
O Amazon GuardDuty detecta um amplo conjunto de ameaças, mas não consegue criar detecções para os seus casos de uso específicos. Para construí-los: 1. Identifique o caso de uso. 2. Identifique as fontes de logs que contêm os dados necessários. 3. Centralize esses eventos. 4. Escreva regras de correlação que categorizem as ofensas detectadas. 5. Alerte com base na categoria.
Centralize com o Amazon Security Lake
O Amazon Security Lake centraliza logs de um ambiente multi-conta em um data lake normalizado ao Open Cybersecurity Schema Framework (OCSF). Ele escala para petabytes e permite que SIEMs, ferramentas de BI e o Amazon Athena assinem ou consultem eventos normalizados. Mantenha uma janela curta nas suas ferramentas de visualização enquanto retém anos de logs pesquisáveis no lake.
Integre um SIEM
Em ambientes híbridos ou multi-cloud, um SIEM centraliza eventos (on-premises, multi-cloud, AWS) e aplica regras de correlação para detectar incidentes. A maioria dos SIEMs (Splunk, IBM QRadar, Microsoft Sentinel, Sumo Logic, Exabeam e outros) consegue ingerir logs da AWS como o CloudTrail e as descobertas do Security Hub CSPM. Se você prefere uma opção nativa da AWS, a solução SIEM on Amazon OpenSearch Service é implantada via CloudFormation e vem com um amplo conjunto de regras de detecção integradas.
O AWS Security Hub é um SIEM? Não. Um SIEM agrega eventos brutos e os correlaciona em descobertas; o AWS Security Hub agrega e correlaciona descobertas (do GuardDuty, do Security Hub CSPM, do Inspector, do Macie e mais) já relevantes para a equipe de segurança agir.
Como validar
- Você identificou os casos de uso de detecção personalizada que importam para o seu negócio?
- As fontes de logs necessárias estão centralizadas (por exemplo no Amazon Security Lake) e normalizadas?
- As regras de correlação e o alerta estão definidos e encaminhados ao seu processo de resposta?
Ameaças atendidas
- Depender apenas da detecção gerenciada deixa invisíveis os padrões de ataque específicos da organização; sem logs centralizados e correlacionados você não consegue detectar nem investigar incidentes de múltiplas fontes.
Serviços AWS
AWS Security Hub 
Amazon Security Lake 
Amazon OpenSearch Service