GuardDuty trovare l'aggregazione

GuardDuty aggiorna i risultati generati in modo dinamico. Se GuardDuty rileva una nuova attività correlata allo stesso problema di sicurezza, invece di creare un nuovo risultato, GuardDuty aggiornerà il risultato originale con i dettagli più recenti. Questo comportamento consente di identificare eventuali problemi in corso, senza la necessità di esaminare più report simili, e riduce il volume complessivo dei risultati relativi a problemi di sicurezza noti.

Ad esempio, per la UnauthorizedAccess:EC2/SSHBruteForce ricerca, più tentativi di accesso alla tua istanza verranno aggregati allo stesso ID di ricerca, aumentando il numero di Count nei dettagli del risultato. Questo perché il rilevamento rappresenta un singolo problema di sicurezza con l'istanza che indica che la porta SSH sull'istanza non è adeguatamente protetta contro questo tipo di attività. Tuttavia, se GuardDuty rileva l'attività di accesso SSH che si rivolge a una nuova istanza nel proprio ambiente, verrà creato un nuovo risultato con un ID di ricerca univoco per avvisare l'utente del fatto che si è verificato un problema di sicurezza associato alla nuova risorsa.

Quando un risultato viene aggregato, viene aggiornato con le informazioni relative all'ultima occorrenza di tale attività. il che significa che nell'esempio precedente se la tua istanza è la destinazione di un tentativo di forza bruta da un nuovo attore, i dettagli dell'esito verranno aggiornati per riflettere l'IP remoto dell'origine più recente e le precedenti informazioni saranno sostituite. Le informazioni complete sui singoli tentativi di attività saranno ancora disponibili nei CloudTrail registri o nei registri di flusso VPC.

I criteri che invitano GuardDuty a generare un nuovo risultato invece di aggregarne uno esistente dipendono dal tipo di risultato. I criteri di aggregazione per ogni tipo di risultato sono determinati dai nostri tecnici della sicurezza per fornire una panoramica dei diversi problemi di sicurezza all'interno del tuo account.

Quando GuardDuty genera una sequenza di attacco che identifica il tipo di ricerca nel tuo account, il risultato verrà aggregato solo quando GuardDuty identifichi i segnali simili nella stessa sequenza nel tuo account. Altrimenti, GuardDuty genererà un'altra sequenza di attacco.