Amazon GuardDuty ajoute des règles de détection des menaces facultatives pour la surveillance de l’exécution
Amazon GuardDuty prend désormais en charge des règles de détection facultatives pour la surveillance de l’exécution. Vous pouvez activer plus de 50 règles de surveillance de l’exécution, qui permettent de détecter l’activité des processus, des fichiers et du réseau. Cela peut être une activité de routine dans un environnement, mais être un signe de compromission dans un autre, comme la modification de fichiers sudoers ou la désactivation de la journalisation des audits.
Les nouvelles règles fournissent des détections pour les instances Amazon EC2, Amazon EKS et Amazon ECS à la fois sur EC2 et AWS Fargate. Elles couvrent 13 types de résultats mappés aux tactiques MITRE ATT&CK®, notamment la persistance, l’élévation des privilèges, l’exécution, le contournement de la défense, la découverte, l’exfiltration et le commandement ainsi que le contrôle. Cette version introduit quatre nouveaux types de résultats : CommandAndControl:Runtime/SuspiciousCommand, CredentialAccess:Runtime/SensitiveFileRead, Discovery:Runtime/SensitiveFileRead et Exfiltration:Runtime/SuspiciousCommand.
Pour commencer, rendez-vous sur la console GuardDuty. Vous pouvez activer des règles en mode fonctionnement à blanc pour évaluer l’efficacité de la détection avant d’activer la détection en temps réel.
Les règles de détection personnalisées pour la surveillance de l’exécution sont disponibles dans toutes les Régions AWS commerciales et dans les Régions AWS GovCloud (US). Pour en savoir plus, consultez la section Règles de détection personnalisées d’Amazon GuardDuty. Afin de recevoir les mises à jour programmatiques sur les nouvelles fonctions d’Amazon GuardDuty et détections de menaces, abonnez-vous à la rubrique Amazon GuardDuty SNS.