Дополнительные правила обнаружения угроз в мониторинге времени выполнения Amazon GuardDuty
Amazon GuardDuty теперь поддерживает дополнительные правила обнаружения для мониторинга времени выполнения. Более 50 правил мониторинга времени выполнения помогают обнаруживать в процессах, файлах и сетях определенные действия, которые для одной среды могут быть типичными, а для другой – являться признаками взлома. К таким действиям относится, например, изменение файлов sudoers или отключение журналов аудита.
Новые правила обнаруживают угрозы в инстансах Amazon EC2, Amazon EKS и Amazon ECS как на базе EC2, так и AWS Fargate и позволяют получать данные 13 типов, соответствующих тактикам MITRE ATT&CK®, включая закрепление в системе, повышение привилегий, исполняемые файлы, уклонение от защиты, разведку, эксфильтрацию, а также Command and Control. В текущем выпуске представлены четыре новых типа получаемых данных: CommandAndControl:Runtime/SuspiciousCommand, CredentialAccess:Runtime/SensitiveFileRead, Discovery:Runtime/SensitiveFileRead и Exfiltration:Runtime/SuspiciousCommand.
Начать с ними работу можно в консоли GuardDuty. Вы можете активировать правила в режиме пробного запуска, чтобы оценить эффективность обнаружения, прежде чем задействовать обнаружение в рабочей среде.
Настраиваемые правила обнаружения для мониторинга времени выполнения доступны во всех коммерческих регионах AWS и регионах AWS GovCloud (США). Подробнее см. в разделе Настраиваемые правила обнаружения Amazon GuardDuty. Чтобы получать информацию о программных обновлениях новых функций Amazon GuardDuty и обнаружении угроз, подпишитесь на раздел Amazon GuardDuty SNS.