c4.6 Construir inteligência de ameaças
Forme uma capacidade de inteligência de ameaças que estude ameaças locais e globais, atores, táticas e indicadores de comprometimento (IoCs), e depois alimente essa inteligência nos seus serviços de segurança —listas de ameaças do GuardDuty, regras de reputação do AWS WAF— para detectar e bloquear atividade conhecida como maliciosa.
Guia de implementação
Estude e depois realimente a inteligência
Uma função de inteligência de ameaças estuda notícias de segurança, atores de ameaça, táticas e indicadores de comprometimento (IoCs) e —crucialmente— alimenta o que aprende nos seus serviços de segurança para que a detecção melhore.
Enriqueça o GuardDuty com seus próprios IoCs
O Amazon GuardDuty já usa a inteligência da Amazon mais feeds de terceiros e open source. Você pode adicionar suas próprias listas de IP confiáveis e de IP de ameaça: por exemplo IPs maliciosos vistos atacando seu ambiente on-premises, ou IoCs de um feed comercial (como Talos, X-Force ou Mandiant). Os formatos suportados incluem texto simples, STIX e vários formatos de feed CSV.
Controles de reputação na borda
As regras gerenciadas do AWS WAF incluem listas de reputação de IP da Amazon e de IP anônimas que reduzem ataques de botnets e anonimizadores conhecidos como maliciosos; os feeds de reputação de parceiros no AWS Marketplace as estendem. A solução AWS WAF Security Automations adiciona feeds como Spamhaus e Emerging Threats.
Gere seus próprios sinais
Uma equipe madura pode operar honeypots e iscas para obter inteligência própria e fresca. Veja detectar atividade suspeita com recursos-isca privados.
Como validar
- Você alimenta indicadores de comprometimento (por exemplo de um CIRT local ou de ataques ao seu on-premises) nas listas de ameaças do GuardDuty?
- Os feeds de inteligência de ameaças de terceiros estão integrados à sua detecção e ao seu WAF?
- Você tem uma função de inteligência de ameaças, e usa honeypots/iscas para aprender sobre os adversários?
Ameaças atendidas
- Sem inteligência de ameaças atual alimentada na detecção, seus controles deixam passar IPs, domínios e técnicas conhecidos como maliciosos que outras organizações já estão vendo.
Serviços AWS
Amazon GuardDuty 
AWS WAF