GuardDuty Surveillance du temps d'exécution

Runtime Monitoring observe et analyse les événements au niveau du système d'exploitation, du réseau et des fichiers pour vous aider à détecter les menaces potentielles dans des AWS charges de travail spécifiques de votre environnement.

AWS Ressources prises en charge dans Runtime Monitoring — Runtime Monitoring fournit une couverture de détection des menaces pour les ressources Amazon Elastic Kubernetes Service (Amazon EKS), Amazon Elastic Container Service (Amazon ECS) sur AWS Fargate et Amazon Elastic Compute Cloud (Amazon EC2).

GuardDuty ne prend pas en charge les clusters Amazon EKS exécutés sur AWS Fargate.

Dans ce document et dans d'autres sections relatives à la surveillance de l'exécution, GuardDuty utilise la terminologie du type de ressource pour faire référence aux ressources Amazon EKS, Fargate, Amazon ECS et Amazon EC2.

Runtime Monitoring utilise un agent de GuardDuty sécurité qui améliore la visibilité du comportement d'exécution, comme l'accès aux fichiers, l'exécution des processus, les arguments de ligne de commande et les connexions réseau. Pour chaque type de ressource que vous souhaitez surveiller pour détecter d'éventuelles menaces, vous pouvez gérer l'agent de sécurité correspondant à ce type de ressource spécifique automatiquement ou manuellement (à l'exception de Fargate (Amazon ECS uniquement)). La gestion automatique de l'agent de sécurité signifie que vous autorisez GuardDuty l'installation et la mise à jour de l'agent de sécurité en votre nom. En revanche, lorsque vous gérez manuellement l'agent de sécurité pour vos ressources, vous êtes responsable de l'installation et de la mise à jour de l'agent de sécurité, selon les besoins.

Grâce à cette fonctionnalité étendue, elle GuardDuty peut vous aider à identifier et à répondre aux menaces potentielles susceptibles de cibler les applications et les données exécutées dans vos charges de travail et instances individuelles. Par exemple, une menace peut potentiellement commencer par compromettre un seul conteneur qui exécute une application web vulnérable. Cette application Web peut disposer d’autorisations d’accès aux conteneurs et charges de travail sous-jacents. Dans ce scénario, des identifiants mal configurés pourraient potentiellement conduire à un accès plus large au compte et aux données qui y sont stockées.

En analysant les événements d'exécution des conteneurs et des charges de travail individuels, GuardDuty vous pouvez potentiellement identifier la compromission d'un conteneur et des AWS informations d'identification associées dans une phase initiale, et détecter les tentatives d'augmentation des privilèges, les demandes d'API suspectes et les accès malveillants aux données de votre environnement.