O AWS GuardDuty é um serviço da AWS que encontra ameaças no seu ambiente em um mar de dados trafegados, ajudando a encontrar as agulhas no palheiro, ele análise seus recursos e análise comportamentos suspeitos.
Para começar a utilizar o AWS GuardDuty é muito simples, basta acessar o serviço pelo console e habilitar ele clicando no botão Enable GuardDuty
Agora você verá as opções que o AWS GuardDuty fornece, como os Findings (o que foi encontrado de suspeito), o tempo da licença Trial que está rodando na sua contato e outras opções que vamos falar mais pra frente.
AWS GuardDuty Data Source
O AWS GuardDuty possuí três fontes de dados, onde ele irá coletar e analisar esses dados constantemente
- VPC Flow Logs
- DNS Logs
- CloudTrail Events
Cada um desses recursos possuem uma infinidade de informações que serão analisadas por práticas de Machine Learning dentro da caixa do AWS GuardDuty.
VPC Flows Logs – não captura pacotes de dados, mas ele fornece a nível de ENI (Elastic Network Interface) informação de conectividade entre subnets e redes internas.
DNS Logs – são dados ativados diretamente no Route53, porém caso sua aplicação não utilize o DNS da AWS (Route 53) o AWS GuardDuty ainda assim consegue capturar essas informações a partir de chamadas que forem feitos para outros DNS partindo de uma EC2, por exemplo.
CloudTrail Events – são dados de auditoria, o AWS CloudTrail já captura dados a todo instante de tudo o que é alterado/acessado na sua conta e o AWS GuardDuty analisa esses dados também, atrás de mudanças que possam ser suspeitas.
GuardDuty Findings
O Findings foi mencionado anteriormente, ela é a primeira tela disponível pelo AWS GuardDuty e ela permite que você veja cada tipo de ameaças alertadas, sendo elas categorizadas pelo seu tipo de ameaça.
- Backdoor: O Recurso está afetado e pode permitir que o invasor acesse o servidor por comandos remotos de uma outra ponta.
- Behavior: Alguns recursos estão com um comportamento/atividades diferente dos padrões.
- Crypto Currency: Foi encontrado software relacionado com mineração de moedas.
- Pentest: Atividades similares a de Pen Tests, mesmo quando seja feito com o consentimento do dono da conta, o GuardDuty irá reportar.
- Recon: Identifica atividade de reconhecimento de portas abertas, como banco de dados e outros serviços.
- Stealth: Atividades indicam que algum tipo de ataque está sendo feito por trás de proxy, anonimizando o atacante.
- Trojan: Atividades indicam que existe software suspeito, que podem ter sido instalado ou inseridos a partir de uma vulnerabilidade
- Unauthorized Access: Atividades suspeitas por usuários desconhecidos.
AWS GuardDuty Níveis de Alertas
O AWS GuardDuty, além das categorias, também informa o nível de criticidade da suspeita identificada. Existem três níveis de severidade:
- Low: Atividade suspeita/maliciosa foi bloqueado e não comprometeu o recurso.
- Medium: Atividade suspeita está com um comportamento além do normal esperado.
- High: Recurso comprometido e exige ação imediata.
AWS GuardDuty Events
O AWS GuardDuty Events permite que você aproveite a cada novo evento gerado dentro dele, para que seja gerado algum tipo de tratamento dessa informação (usando Lambda) ou basicamente reportar por email ou outra ferramente de comunicação como o Slack, para reportar ao time que um novo evento foi gerado.
Um evento do AWS GuardDuty é um corpo de mensagem em JSON como esta abaixo:
{
"version": "0",
"id": "cd2d702e-ab31-411b-9344-793ce56b1bc7",
"detail-type": "GuardDuty Finding",
"source": "aws.guardduty",
"account": "111122223333",
"time": "1970-01-01T00:00:00Z",
"region": "us-east-1",
"resources": [],
"detail": {COMPLETE_GUARDDUTY_FINDING_JSON}
} A partir disso você pode criar sua própria lambda para tratar o Log, por categoria e level de severidade e tomar a ação para seu negócio, uma ação de segurança emergencial ou simplesmente reportar ao time de sustentação.
Abraços
