Detecção de Ameaças Avançada do GuardDuty

A Detecção de Ameaças Avançada detecta automaticamente ataques em vários estágios que abrangem fontes de dados, vários tipos de recursos (e tempo) da AWS dentro de uma Conta da AWS. Com esse recurso, o GuardDuty se concentra na sequência de vários eventos que ele observa monitorando diferentes tipos de fontes de dados. A Detecção de Ameaças Avançada correlaciona esses eventos para identificar cenários que se apresentam como uma ameaça potencial ao seu ambiente da AWS e, em seguida, gera uma descoberta de sequência de ataque.

Exemplos de cenários de ameaças com sequência de ataque

A Detecção de Ameaças Avançada abrange cenários de ameaças que envolvem comprometimentos relacionados ao uso indevido de credenciais da AWS, tentativas de comprometimento de dados em buckets do Amazon S3 e comprometimento de recursos de contêineres e Kubernetes nos clusters do Amazon EKS. Uma única descoberta pode abranger uma sequência de ataque inteira. Por exemplo, a lista a seguir descreve os cenários que o GuardDuty pode detectar:

Devido à natureza dos cenários de ameaças associados, o GuardDuty considera todos os Tipos de descoberta de sequência de ataque como Críticos.

O vídeo a seguir mostra como você pode usar a Detecção de Ameaças Avançada.

Como funciona

Quando você habilita o Amazon GuardDuty na sua conta em uma Região da AWS específica, a Detecção de Ameaças Avançada também é habilitada por padrão. Não há custo adicional associado ao uso da Detecção de Ameaças Avançada. Por padrão, ela correlaciona eventos em todas as Fontes de dados fundamentais. No entanto, quando você habilita mais planos de proteção do GuardDuty, como Proteção do S3, Proteção do EKS e Monitoramento de Runtime, isso abrirá mais tipos de detecções de sequência de ataque, ampliando a variedade de fontes de eventos. Isso potencialmente ajudará com uma análise de ameaças mais abrangente e com uma melhor detecção das sequências de ataque. Para obter mais informações, consulte Habilitação de planos de proteção para maximizar a detecção de ameaças.

O GuardDuty correlaciona vários eventos, incluindo atividades de API e descobertas do GuardDuty. Esses eventos são chamados de Sinais. Às vezes, pode haver eventos em seu ambiente que, por si só, não se apresentam como uma clara ameaça potencial. O GuardDuty os chama de sinais fracos. Com a Detecção de Ameaças Avançada, o GuardDuty identifica quando uma sequência de várias ações se alinha a uma atividade potencialmente suspeita e gera uma descoberta de sequência de ataque na sua conta. Essas várias ações podem incluir sinais fracos e descobertas já identificadas do GuardDuty na sua conta.

O GuardDuty também foi projetado para identificar possíveis comportamentos de ataque em andamento ou recentes (dentro de um período contínuo de 24 horas) na sua conta. Por exemplo, um ataque pode começar quando um ator obtém acesso não intencional a uma workload computacional. O ator então executaria uma série de etapas, incluindo enumeração, escalonamento de privilégios e exfiltração de credenciais da AWS. Essas credenciais poderiam ser usadas para comprometimento adicional ou acesso malicioso aos dados.

Habilitação de planos de proteção para maximizar a detecção de ameaças

Para qualquer conta do GuardDuty em uma região, o recurso de Detecção de Ameaças Avançada é habilitado automaticamente. Por padrão, esse recurso leva em consideração os vários eventos em todas as Fontes de dados fundamentais. Para se beneficiar desse recurso, você não precisa habilitar todos os planos de proteção do GuardDuty focados em casos de uso. Por exemplo, com a detecção de ameaças básica, o GuardDuty pode identificar uma possível sequência de ataque a partir da atividade de descoberta de privilégios do IAM nas APIs do Amazon S3 e detectar alterações subsequentes no ambiente de gerenciamento do S3, como alterações que tornam a política de recursos do bucket mais permissiva.

A Detecção de Ameaças Avançada foi projetada de forma que, se você habilitar mais planos de proteção, ela ajuda o GuardDuty a correlacionar sinais mais diversos em várias fontes de dados. Isso potencialmente aumentará a amplitude dos sinais de segurança para uma análise abrangente de ameaças e cobertura das sequências de ataque. Para identificar descobertas que poderiam ser um dos vários estágios em uma sequência de ataque, o GuardDuty recomenda habilitar planos de proteção específicos – Proteção do S3, Proteção do EKS e Monitoramento de Runtime (com o complemento do EKS).

Detecção de sequências de ataque em clusters do Amazon EKS

O GuardDuty correlacionou vários sinais de segurança nos logs de auditoria do EKS, no comportamento de runtime dos processos e na atividade da API da AWS para detectar padrões de ataque sofisticados. Para se beneficiar da Detecção de Ameaças Avançada para EKS, você deve habilitar pelo menos um desses recursos – Proteção do EKS ou Monitoramento de Runtime (com o complemento do EKS). A Proteção do EKS monitora as atividades do ambiente de gerenciamento por meio de logs de auditoria, enquanto o Monitoramento de Runtime observa os comportamentos nos contêineres.

Para uma cobertura máxima e uma detecção abrangente de ameaças, o GuardDuty recomenda habilitar os dois planos de proteção. Juntos, eles criam uma visão completa dos seus clusters do EKS, permitindo que o GuardDuty detecte padrões de ataque complexos. Por exemplo, ele pode identificar uma implantação anômala de um contêiner privilegiado (detectada com a Proteção do EKS), seguida por tentativas de persistência, mineração de criptomoedas e criação reversa de shell dentro desse contêiner (detectada com o Monitoramento de Runtime). O GuardDuty representa esses eventos relacionados como uma única descoberta de gravidade crítica chamada AttackSequence:EKS/CompromisedCluster. Quando você habilita os dois planos de proteção, a descoberta de sequência de ataque abrange os seguintes cenários de ameaça:

A lista a seguir fornece detalhes de quando esses planos de proteção dedicados são habilitados individualmente:

Se você não habilitar a Proteção do EKS ou o Monitoramento de Runtime, o GuardDuty não poderá gerar Tipos de descoberta da Proteção do EKS ou Tipos de descoberta do Monitoramento de runtime individuais. Portanto, o GuardDuty não será capaz de detectar sequências de ataque em vários estágios que envolvam descobertas associadas.

Detecção de sequências de ataque nos buckets do Amazon S3

A habilitação da Proteção do S3 dá ao GuardDuty a capacidade de detectar sequências de ataque envolvendo tentativas de comprometimento de dados em seus buckets do Amazon S3. Sem a Proteção do S3, o GuardDuty pode detectar quando sua política de recursos de bucket do S3 se torna excessivamente permissiva. Quando você habilita a Proteção do S3, o GuardDuty ganha a capacidade de detectar possíveis atividades de exfiltração de dados que podem ocorrer depois que seu bucket do S3 se torna excessivamente permissivo.

Se a Proteção do S3 não estiver habilitada, o GuardDuty não poderá gerar Tipos de descoberta da Proteção do S3 individuais. Portanto, o GuardDuty não será capaz de detectar sequências de ataque em vários estágios que envolvam descobertas associadas. Para obter informações sobre como habilitar esse plano de proteção, consulte Proteção do S3.

Detecção de Ameaças Avançada no console do GuardDuty

Por padrão, a página da Detecção de Ameaças Avançada no console do GuardDuty exibe o Status como Habilitado. Com a detecção básica de ameaças, o status representa que o GuardDuty pode detectar uma possível sequência de ataque envolvendo atividades de descoberta de privilégios do IAM nas APIs do Amazon S3 e detectar alterações subsequentes no ambiente de gerenciamento do S3.

Use as etapas a seguir para acessar a página da Detecção de Ameaças Avançada no console do GuardDuty:

Noções básicas e gerenciamento de descobertas de sequências de ataques

As descobertas de sequência de ataque são iguais a outras descobertas do GuardDuty na sua conta. Você pode visualizá-las na página Descobertas no console do GuardDuty. Para obter mais informações sobre como visualizar descobertas, consulte Página de descobertas no console do GuardDuty.

Semelhante a outras descobertas do GuardDuty, as descobertas de sequência de ataque também são enviadas automaticamente ao Amazon EventBridge. Com base nas suas configurações, as descobertas de sequência de ataque também são exportadas para um destino de publicação (bucket do Amazon S3). Para definir um novo destino de publicação ou atualizar um existente, consulte Exportar as descobertas geradas para bucket do Amazon S3.

Recursos adicionais

Veja as seções a seguir para obter uma maior compreensão sobre as sequências de ataque: