Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Reglas de detección personalizadas en GuardDuty
Las reglas de detección personalizadas proporcionan una biblioteca de reglas prediseñadas que detectan actividades que no se espera que ocurran en su AWS entorno. GuardDuty crea y mantiene estas reglas y describe cada una de ellas utilizando un vocabulario de técnicas de amenazas establecido extraído de catálogos como MITRE ATT&CK® y el Catálogo de técnicas de AWS amenazas. Puede activar cada regla para la actividad que desee detectar, ya sea en modo simulacro para medirla primero o en modo directo para generar resultados.
Los equipos de seguridad suelen saber que determinadas acciones no deberían producirse en cuentas específicas. Una acción como compartir una AMI, eliminar los registros de flujo de la VPC o iniciar sesión sin MFA puede ser rutinaria en una cuenta y una señal de peligro en otra. La mayoría de GuardDuty los hallazgos identifican actividades sospechosas en cualquier entorno. Las reglas de detección personalizadas te permiten detectar actividades sospechosas solo en las cuentas en las que no esperes que se produzcan.
Las reglas de detección personalizadas utilizan los siguientes conceptos:
- Regla
-
Una detección prediseñada que GuardDuty posee y mantiene. Cada regla se dirige a una técnica de amenaza y define las condiciones que hacen que coincida.
- Asociación
-
El vínculo entre una regla y una cuenta. Una asociación registra el modo en que se ejecuta la regla para esa cuenta. No se evalúa una regla sin asociación.
- Mode (Modo)
-
El comportamiento de una regla asociada cuando coincide con la actividad. Cada regla admite dos modos:
-
En vivo: GuardDuty genera un resultado cuando la regla coincide con la actividad. El modo en directo no caduca.
-
Prueba: GuardDuty evalúa la regla y emite las CloudWatch métricas de Amazon, pero no genera resultados. Usa un simulacro para medir el volumen de la señal antes de realizar una detección en tiempo real. GuardDuty emite estas métricas solo cuando la regla coincide con un evento, por lo que una regla que nunca coincide no produce métricas de simulacro. El funcionamiento en seco caduca automáticamente a los 14 días.
-
- Configuración de la organización
-
Configuración de reglas que la cuenta de GuardDuty administrador delegado aplica a las cuentas de los miembros de una organización. GuardDuty crea las asociaciones individuales en cada cuenta de destino, incluidas las cuentas a las que se unen posteriormente. Para obtener más información, consulte Gestión de reglas de detección personalizadas en entornos con varias cuentas.
- Señal
-
Una incidencia observada de la actividad que detecta una regla. GuardDutyagrupa las señales relacionadas en un único hallazgo. Para obtener más información, consulte Buscando agregación.
Temas
