Amazon GuardDuty เพิ่มกฎการตรวจจับภัยคุกคามทางเลือกสำหรับการติดตามตรวจสอบรันไทม์
ขณะนี้ Amazon GuardDuty รองรับกฎการตรวจจับทางเลือกสำหรับการติดตามตรวจสอบรันไทม์ คุณสามารถเปิดใช้งานกฎการติดตามตรวจสอบรันไทม์ได้มากกว่า 50 กฎ ซึ่งช่วยตรวจจับกิจกรรมของกระบวนการ ไฟล์ และเครือข่ายที่อาจเป็นกิจกรรมตามปกติในสภาพแวดล้อมหนึ่ง แต่เป็นสัญญาณของการถูกบุกรุกในอีกสภาพแวดล้อมหนึ่ง เช่น การแก้ไขไฟล์ sudoers หรือการปิดใช้งานข้อมูลบันทึกการตรวจประเมิน
กฎใหม่มีการตรวจจับสำหรับอินสแตนซ์ Amazon EC2, Amazon EKS และ Amazon ECS ทั้งบน EC2 และ AWS Fargate และครอบคลุมประเภทการค้นพบ 13 ประเภทที่เชื่อมโยงกับกลยุทธ์ของ MITRE ATT&CK® ซึ่งรวมถึงการคงอยู่ การยกระดับสิทธิ์ การดำเนินการ การหลบเลี่ยงการป้องกัน การค้นหา การนำข้อมูลออก และการสั่งการและควบคุม รุ่นนี้เปิดตัวประเภทการค้นพบใหม่ 4 ประเภท ได้แก่ CommandAndControl:Runtime/SuspiciousCommand, CredentialAccess:Runtime/SensitiveFileRead, Discovery:Runtime/SensitiveFileRead และ Exfiltration:Runtime/SuspiciousCommand
ในการเริ่มต้นใช้งาน โปรดไปที่คอนโซล GuardDuty คุณสามารถเปิดใช้งานกฎในโหมด Dry-Run เพื่อประเมินประสิทธิภาพของการตรวจจับก่อนเปิดใช้งานการตรวจจับจริง
กฎการตรวจจับแบบกำหนดเองสำหรับการติดตามตรวจสอบรันไทม์พร้อมใช้งานใน AWS Region เชิงพาณิชย์ทุกแห่งและรีเจี้ยน AWS GovCloud (สหรัฐฯ) หากต้องการเรียนรู้เพิ่มเติม โปรดดูกฎการตรวจจับแบบกำหนดเองของ Amazon GuardDuty หากต้องการรับการอัปเดตแบบเป็นโปรแกรมเกี่ยวกับฟีเจอร์ใหม่และการตรวจจับภัยคุกคามของ Amazon GuardDuty ให้ติดตามหัวข้อ SNS ของ Amazon GuardDuty