Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Cómo funcionan las reglas de detección personalizadas
Comience por explorar las reglas que GuardDuty ofrece para identificar las que detectan la actividad relevante para su entorno. A continuación, asocie cada regla a las cuentas en las que la actividad sea inesperada. Para obtener más información sobre cómo asociar reglas a cuentas, consulteGestión de reglas de detección personalizadas.
Fuentes de datos y señales
Tras asociar una regla, GuardDuty supervisa las fuentes de datos de las que depende la regla y evalúa los registros entrantes para ver si coinciden con los eventos. Las reglas de detección personalizadas . admite eventos AWS CloudTrail de administración y eventos de supervisión del tiempo de ejecución. Cuando la actividad observada coincide con una regla, GuardDuty genera una señal. Una señal representa una única incidencia observada de la actividad que detecta la regla.
Cada fuente de datos tiene sus propios requisitos:
- AWS CloudTrail eventos de gestión
-
GuardDuty analiza estos eventos en todas las cuentas en las que GuardDuty está activado. No se requiere ninguna configuración adicional.
- Eventos de supervisión del tiempo de ejecución
-
Las reglas de supervisión del tiempo de ejecución evalúan el proceso, los archivos y la actividad de red que el agente de GuardDuty seguridad observa en sus recursos. Una regla de supervisión del tiempo de ejecución solo puede coincidir con la actividad de un recurso que cumpla los dos requisitos siguientes:
-
La supervisión del tiempo de ejecución está habilitada para el tipo de recurso: Amazon EKS, Amazon EC2 o Amazon ECS en Fargate. Para obtener más información, consulte GuardDuty Supervisión del tiempo de ejecución.
-
El agente GuardDuty de seguridad se ejecuta en el recurso, igual o superior a la versión de agente mínima de la regla para esa plataforma.
Cada regla de supervisión del tiempo de ejecución establece la versión mínima del agente que necesita en cada plataforma en la que se puede ejecutar. Para ver estos requisitos, llame a la GetCustomDetectionRuleoperación.
Si el agente de un recurso es anterior a la versión mínima de una regla, la regla no coincide con la actividad de ese recurso. GuardDuty no informa de ningún error en este caso, así que mantenga al agente actualizado sobre los recursos en los que habilita las reglas de supervisión del tiempo de ejecución. Para obtener información sobre las versiones de los agentes, consulteGuardDuty versiones de lanzamiento del agente de seguridad.
-
Modos
Cada asociación se ejecuta en uno de estos dos modos:
-
En vivo: GuardDuty genera un resultado cuando la regla coincide.
-
Ejecución en seco: GuardDuty emite CloudWatch métricas de Amazon que cuentan la frecuencia con la que la regla coincide, pero no genera resultados. Usa el simulacro para medir la frecuencia con la que coincide una regla antes de que pueda generar resultados o activar respuestas automatizadas. Las asociaciones de simulacros caducan 14 días después de su creación, mientras que las asociaciones activas no caducan.
Para obtener más información, consulte Funcionamiento en seco y En directo.
Buscando agregación
Cada hallazgo sigue el formatoTactic:Service/Technique, por ejemplo, Persistence:IAM/AccountManipulation oPersistence:Runtime/SuspiciousCommand. La forma en que se GuardDuty agrupan las señales en hallazgos depende de la fuente de datos que generó la señal, como se describe en la siguiente lista:
-
AWS CloudTrail reglas: GuardDuty agrega las señales que comparten la misma táctica, servicio y técnica en un solo hallazgo. Un único hallazgo puede contener múltiples señales cuando se GuardDuty observa la misma actividad repetidamente desde el mismo director.
-
Reglas de monitoreo del tiempo de ejecución: GuardDuty agrega las señales que comparten los mismos detalles de reglas, recursos y procesos en un solo hallazgo. Cada hallazgo abarca un recurso, como una instancia, una tarea o un contenedor. Los detalles del proceso que GuardDuty se comparan dependen del tipo de hallazgo. Por ejemplo, los resultados de la modificación del archivo también comparan la operación del archivo y el usuario que ejecutó el proceso. Una coincidencia repetida actualiza la conclusión existente en lugar de crear una nueva. Los hallazgos de diferentes reglas permanecen separados, incluso cuando las reglas generan el mismo tipo de hallazgo para el mismo recurso y proceso.
Para obtener más información sobre la estructura y los campos de búsqueda, consulteReglas de detección personalizadas para encontrar detalles.
Campos de eventos redactados
las reglas que evalúan los campos que AWS CloudTrail registran un evento. La redacción se produce antes de. GuardDuty Un AWS servicio puede redactar el valor de un campo en los eventos que publica. Esta redacción protege los datos potencialmente confidenciales. Cuando se redacta un campo, AWS CloudTrail registra que el campo estaba presente, pero no registra su valor.
El servicio que publica el evento decide qué campos censurará. Un servicio redacta un campo cuando ese campo puede contener información confidencial. La redacción se aplica al campo, no a un valor específico. Por lo tanto, un servicio redacta un campo incluso cuando el valor de una solicitud en particular no es confidencial. Redacta esos campos para cada solicitud, independientemente de si utiliza la Consola de administración de AWS AWS CLI o un AWS SDK.
GuardDuty no puede evaluar un valor que no esté en el evento. Si la lógica de detección de una regla depende de un campo redactado, la regla no coincide. GuardDuty entonces no produce ninguna señal ni ningún hallazgo, a pesar de que la actividad se haya producido. Una regla no se ve afectada si inspecciona únicamente los campos que los servicios no censuran, como el nombre del evento, el AWS servicio y la identidad que realiza la llamada.
La redacción también puede hacer que una regla coincida con una solicitud pero no con otra que haya tenido el mismo efecto. Cuando una operación de API acepta más de un campo para el mismo cambio, es posible que un campo esté redactado y otro no. Si la regla coincide, entonces, depende del campo que utilice la solicitud.
nota
Las reglas de detección personalizadas son una capacidad de detección, no un registro de auditoría completo. Para confirmar si se ha producido una llamada a la API específica en tu cuenta, consulta el evento en AWS CloudTrail. Para obtener más información, consulta Cómo ver eventos con el historial de AWS CloudTrail eventos.
