Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

GuardDuty tipos de búsqueda de secuencias de ataque

GuardDuty detecta una secuencia de ataque cuando una secuencia específica de múltiples acciones se alinea con una actividad potencialmente sospechosa. Una secuencia de ataque incluye señales como las actividades y los GuardDuty hallazgos de la API. Cuando GuardDuty observa un grupo de señales en una secuencia específica que indica una amenaza de seguridad en curso, en curso o reciente, GuardDuty genera una búsqueda de la secuencia de ataque. GuardDuty considera que las actividades individuales de las API weak signals se deben a que no se presentan como una amenaza potencial.

Las detecciones de secuencias de ataque se centran en la posibilidad de comprometer los datos de Amazon S3 (que pueden formar parte de un ataque de ransomware más amplio), AWS las credenciales comprometidas, los clústeres de Amazon EKS comprometidos, los clústeres de Amazon ECS comprometidos y los grupos de instancias de Amazon EC2 comprometidos. En las siguientes secciones, se proporciona información sobre cada una de las secuencias de ataque.

AttackSequence:EKS/CompromisedCluster

Secuencia de acciones sospechosas realizadas por un clúster Amazon EKS potencialmente comprometido.

Este hallazgo le informa de que GuardDuty se detectó una secuencia de acciones sospechosas que indican la existencia de un clúster de Amazon EKS que podría estar comprometido en su entorno. Se observaron varios comportamientos de ataque sospechosos y anómalos, como procesos maliciosos o conexiones con puntos de conexión maliciosos, en el mismo clúster de Amazon EKS.

GuardDuty utiliza sus algoritmos de correlación patentados para observar e identificar la secuencia de acciones realizadas con la credencial de IAM. GuardDuty evalúa los hallazgos de los planes de protección y otras fuentes de señales para identificar los patrones de ataque comunes y emergentes. GuardDuty utiliza varios factores para detectar las amenazas, como la reputación de la IP, las secuencias de API, la configuración de los usuarios y los recursos que pueden verse afectados.

Medidas correctivas: si este comportamiento es inesperado en su entorno, es posible que su clúster de Amazon EKS esté en peligro. Para obtener una guía completa de correcciones, consulte Corregir los resultados de EKS Protection y Corregir los resultados de la Supervisión en tiempo de ejecución

Además, dado que es posible que AWS las credenciales del clúster EKS se hayan visto comprometidas, consulteSolución que podría estar comprometida AWS credentials. Para ver los pasos a seguir para corregir otros recursos que podrían haberse visto afectados, consulte Corregir los hallazgos de GuardDuty seguridad detectados.

AttackSequence:ECS/CompromisedCluster

Secuencia de acciones sospechosas realizadas por un clúster de Amazon ECS que podría estar comprometido.

Este hallazgo le informa de que GuardDuty ha detectado una secuencia de señales sospechosas que indican la existencia de un clúster de Amazon ECS potencialmente comprometido en su entorno. Estas señales pueden incluir procesos malintencionados, comunicaciones con puntos finales malintencionados o comportamientos de minería de criptomonedas.

GuardDuty utiliza algoritmos de correlación patentados y varios factores de detección para identificar secuencias de acciones sospechosas en los clústeres de Amazon ECS. Mediante el análisis de los planes de protección y las diversas fuentes de señales, GuardDuty identifica los patrones de ataque comunes y emergentes, lo que permite detectar con gran fiabilidad los posibles riesgos.

Acciones correctivas: si este comportamiento es inesperado en su entorno, es posible que su clúster de Amazon ECS se vea comprometido. Para obtener recomendaciones sobre la contención de amenazas, consulte. Corregir un clúster de ECS potencialmente comprometido Tenga en cuenta que el compromiso puede extenderse a una o más tareas de ECS o cargas de trabajo de contenedores, que podrían haberse utilizado para crear o modificar AWS recursos. Para obtener una guía de remediación completa que abarque los recursos que podrían verse afectados, consulte. Corregir los hallazgos de GuardDuty seguridad detectados

AttackSequence:EC2/CompromisedInstanceGroup

Secuencia de acciones sospechosas que indican instancias de Amazon EC2 potencialmente comprometidas.

Este hallazgo indica que GuardDuty se detectó una secuencia de acciones sospechosas que sugerían un riesgo potencial en un grupo de instancias de Amazon EC2 de su entorno. Los grupos de instancias suelen representar aplicaciones administradas a través de la infraestructura como código y comparten configuraciones similares, como el Auto-scaling grupo, el perfil de instancia de IAM, el rol, la AWS CloudFormation pila, la plantilla de lanzamiento de Amazon EC2, la AMI o el ID de VPC. GuardDuty observó varios comportamientos sospechosos en una o más instancias, entre los que se incluyen:

Método de detección: GuardDuty emplea algoritmos de correlación patentados para identificar secuencias de acciones sospechosas en las instancias de Amazon EC2. Al evaluar las conclusiones de los planes de protección y de las distintas fuentes de señales, GuardDuty identifica los patrones de ataque teniendo en cuenta varios factores, como la reputación de la IP y del dominio y los procesos en ejecución sospechosos.

Acciones correctivas: si este comportamiento es inesperado en su entorno, sus instancias de Amazon EC2 pueden verse comprometidas. El compromiso podría implicar:

Para obtener recomendaciones sobre la contención de amenazas, consulte. Corrección de problemas en una instancia de Amazon EC2 potencialmente comprometida Tenga en cuenta que el compromiso puede extenderse a una o más instancias de Amazon EC2 e implicar procesos o credenciales de instancia comprometidos que podrían haberse utilizado para crear o modificar instancias de Amazon EC2 u otros recursos. AWS Para obtener una guía de corrección completa que abarque los recursos que podrían verse afectados, consulte. Corregir los hallazgos de GuardDuty seguridad detectados

AttackSequence:IAM/CompromisedCredentials

Secuencia de solicitudes de API que se invocaron mediante un uso potencialmente comprometido AWS credenciales.

Este hallazgo le informa de que GuardDuty ha detectado una secuencia de acciones sospechosas realizadas con AWS credenciales que afectan a uno o más recursos de su entorno. Se observaron varios comportamientos de ataque sospechosos y anómalos con las mismas credenciales, lo que aumentó la confianza en que se estaba haciendo un uso indebido de las credenciales.

GuardDuty utiliza sus algoritmos de correlación patentados para observar e identificar la secuencia de acciones realizadas con la credencial de IAM. GuardDuty evalúa los hallazgos de los planes de protección y otras fuentes de señales para identificar los patrones de ataque comunes y emergentes. GuardDuty utiliza varios factores para detectar las amenazas, como la reputación de la IP, las secuencias de API, la configuración de los usuarios y los recursos que pueden verse afectados.

Cuando lo habilitaProtección de la IA, también GuardDuty puede incluir Tipos de hallazgos de AI Protection entre las señales que se correlacionan con esta secuencia de ataque. Estos hallazgos están asociados a una identidad de IAM. Como resultado, GuardDuty pueden mostrarse como señales en esta secuencia de ataque y correlacionarlos con otras acciones sospechosas realizadas con las mismas credenciales potencialmente comprometidas. Por ejemplo, GuardDuty puede correlacionar otras señales con una invocación anómala de un modelo de Amazon Bedrock o Amazon SageMaker AI realizada con esas credenciales e incluirla en esta secuencia de ataque. Por sí solas, las conclusiones de la protección de la IA no generan una secuencia de ataque. Para obtener más información, consulte Protección de la IA.

Acciones correctivas: si este comportamiento es inesperado en su entorno, es posible que sus AWS credenciales se hayan visto comprometidas. Para obtener información sobre los pasos necesarios para solucionarlo, consulte Solución que podría estar comprometida AWS credentials. Es posible que las credenciales comprometidas se hayan utilizado para crear o modificar recursos adicionales en su entorno, como buckets de Amazon S3, funciones de AWS Lambda o instancias Amazon EC2. Para ver los pasos a seguir para corregir otros recursos que podrían haberse visto afectados, consulte Corregir los hallazgos de GuardDuty seguridad detectados.

AttackSequence:S3/CompromisedData

Se invocó una secuencia de solicitudes de API en un posible intento de filtrar o destruir datos en Amazon S3.

Este hallazgo le informa de que GuardDuty se detectó una secuencia de acciones sospechosas que indicaban que los datos estaban comprometidos en uno o más depósitos de Amazon Simple Storage Service (Amazon S3), mediante el uso de credenciales que podían estar comprometidas AWS . Se observaron varios comportamientos de ataque sospechosos y anómalos (solicitudes de API), lo que aumentó la confianza en el uso indebido de las credenciales.

GuardDuty utiliza sus algoritmos de correlación para observar e identificar la secuencia de acciones realizadas con la credencial de IAM. GuardDuty luego evalúa los hallazgos de los planes de protección y otras fuentes de señales para identificar los patrones de ataque comunes y emergentes. GuardDuty utiliza varios factores para detectar las amenazas, como la reputación de la IP, las secuencias de API, la configuración de los usuarios y los recursos que pueden verse afectados.

Acciones correctivas: si esta actividad es inesperada en su entorno, es posible que sus AWS credenciales o los datos de Amazon S3 se hayan filtrado o destruido. Para ver los pasos a seguir para solucionarlo, consulte Solución que podría estar comprometida AWS credentials y Corregir un bucket de S3 potencialmente comprometido.