Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Cara Kerja Aturan Deteksi Kustom
Mulailah dengan menelusuri aturan yang GuardDuty menawarkan untuk mengidentifikasi aturan yang mendeteksi aktivitas yang relevan dengan lingkungan Anda. Kemudian kaitkan setiap aturan dengan akun di mana aktivitas tidak terduga. Untuk informasi selengkapnya tentang mengaitkan aturan dengan akun, lihatMengelola Aturan Deteksi Kustom.
Sumber data dan sinyal
Setelah Anda mengaitkan aturan, GuardDuty memantau sumber data yang bergantung pada aturan dan mengevaluasi log masuk untuk peristiwa yang cocok. Aturan Deteksi Kustom mendukung acara AWS CloudTrail manajemen dan acara Runtime Monitoring. Ketika aktivitas yang diamati cocok dengan aturan, GuardDuty menghasilkan sinyal. Sinyal mewakili satu kejadian yang diamati dari aktivitas yang dideteksi aturan.
Setiap sumber data memiliki persyaratannya sendiri:
- AWS CloudTrail acara manajemen
-
GuardDuty menganalisis peristiwa ini di setiap akun yang GuardDuty diaktifkan. Tidak diperlukan pengaturan tambahan.
- Acara Runtime Monitoring
-
Aturan Runtime Monitoring mengevaluasi proses, file, dan aktivitas jaringan yang diamati agen GuardDuty keamanan pada sumber daya Anda. Aturan Runtime Monitoring hanya dapat mencocokkan aktivitas pada sumber daya yang memenuhi kedua persyaratan berikut:
-
Runtime Monitoring diaktifkan untuk jenis sumber daya: Amazon EKS, Amazon EC2, atau Amazon ECS di Fargate. Untuk informasi selengkapnya, lihat GuardDuty Pemantauan Runtime.
-
Agen GuardDuty keamanan berjalan pada sumber daya, pada atau di atas versi agen minimum aturan untuk platform itu.
Setiap aturan Runtime Monitoring menyatakan versi agen minimum yang diperlukan pada setiap platform di mana ia dapat berjalan. Untuk melihat persyaratan ini, hubungi GetCustomDetectionRuleoperasi.
Jika agen pada sumber daya lebih tua dari versi minimum aturan, aturan tidak cocok dengan aktivitas pada sumber daya tersebut. GuardDuty tidak melaporkan kesalahan dalam kasus ini, jadi perbarui agen tentang sumber daya tempat Anda mengaktifkan aturan Pemantauan Waktu Proses. Untuk informasi tentang versi agen, lihatGuardDuty versi rilis agen keamanan.
-
Modus
Setiap asosiasi berjalan dalam salah satu dari dua mode:
-
Live — GuardDuty menghasilkan temuan ketika aturan cocok.
-
Dry run — GuardDuty memancarkan CloudWatch metrik Amazon yang menghitung seberapa sering aturan cocok tetapi tidak menghasilkan temuan. Gunakan dry run untuk mengukur seberapa sering aturan cocok sebelum dapat membuat temuan atau memicu respons otomatis. Asosiasi lari kering kedaluwarsa 14 hari setelah pembuatan, asosiasi langsung tidak kedaluwarsa.
Untuk informasi selengkapnya, lihat Lari kering dan Hidup.
Menemukan agregasi
Setiap temuan mengikuti formatTactic:Service/Technique, misalnya, Persistence:IAM/AccountManipulation atauPersistence:Runtime/SuspiciousCommand. Bagaimana GuardDuty kelompok memberi sinyal ke dalam temuan tergantung pada sumber data yang menghasilkan sinyal, seperti yang dijelaskan dalam daftar berikut:
-
AWS CloudTrail aturan — GuardDuty menggabungkan sinyal yang berbagi taktik, layanan, dan teknik yang sama menjadi satu temuan. Temuan tunggal dapat berisi beberapa sinyal ketika GuardDuty mengamati aktivitas yang sama berulang kali dari prinsip yang sama.
-
Aturan Pemantauan Runtime — GuardDuty menggabungkan sinyal yang berbagi aturan, sumber daya, dan detail proses yang sama menjadi satu temuan. Setiap temuan mencakup satu sumber daya, seperti instance, tugas, atau wadah. Detail proses yang GuardDuty membandingkan tergantung pada jenis temuan. Misalnya, temuan modifikasi file juga membandingkan operasi file dan pengguna yang menjalankan proses. Pencocokan berulang memperbarui temuan yang ada alih-alih membuat yang baru. Temuan dari aturan yang berbeda tetap terpisah, bahkan ketika aturan menghasilkan jenis temuan yang sama untuk sumber daya dan proses yang sama.
Untuk informasi lebih lanjut tentang struktur dan bidang temuan, lihatAturan Deteksi Kustom menemukan detail.
Bidang acara yang disunting
aturan mengevaluasi bidang yang AWS CloudTrail merekam dalam suatu peristiwa. Redaksi terjadi di hulu. GuardDuty AWS Layanan dapat menyunting nilai bidang dalam peristiwa yang diterbitkan. Redaksi ini melindungi data yang berpotensi sensitif. Ketika bidang disunting, AWS CloudTrail mencatat bahwa bidang itu ada tetapi tidak mencatat nilainya.
Layanan yang menerbitkan acara memutuskan bidang mana yang disuntingnya. Layanan menyunting bidang ketika bidang itu dapat membawa informasi sensitif. Redaksi berlaku untuk bidang, bukan untuk nilai tertentu. Oleh karena itu, layanan menyunting bidang bahkan ketika nilai dalam permintaan tertentu tidak sensitif. Ini menyunting bidang tersebut untuk setiap permintaan, terlepas dari apakah Anda menggunakan Konsol Manajemen AWS, AWS CLI, atau AWS SDK.
GuardDuty tidak dapat mengevaluasi nilai yang tidak ada dalam acara tersebut. Jika logika deteksi aturan bergantung pada bidang yang disunting, aturannya tidak cocok. GuardDuty kemudian tidak menghasilkan sinyal dan tidak ada temuan, meskipun aktivitas terjadi. Aturan tidak terpengaruh jika hanya memeriksa bidang yang tidak disunting oleh layanan, seperti nama acara, AWS layanan, dan identitas panggilan.
Redaksi juga dapat membuat aturan cocok dengan satu permintaan tetapi tidak dengan permintaan lain yang memiliki efek yang sama. Ketika operasi API menerima lebih dari satu bidang untuk perubahan yang sama, satu bidang mungkin akan disunting dan yang lain mungkin tidak. Apakah aturan cocok kemudian tergantung pada bidang mana permintaan yang digunakan.
catatan
Aturan Deteksi Kustom adalah kemampuan deteksi, bukan catatan audit lengkap. Untuk mengonfirmasi apakah panggilan API tertentu terjadi di akun Anda, tinjau peristiwa tersebut AWS CloudTrail. Untuk informasi selengkapnya, lihat Melihat peristiwa dengan Riwayat AWS CloudTrail acara.
