Giảm mệt mỏi với cảnh báo bằng tùy chỉnh phát hiện mối đe dọa trong Amazon GuardDuty
"This article details new customization features within Amazon GuardDuty to reduce alert fatigue. These features include Custom Detection Rules, allowing users to tailor threat detection to their specific AWS environment, and capabilities to triage findings and accelerate investigations. Prerequisites include enabling GuardDuty, IAM permissions, and potentially GuardDuty Runtime Monitoring."
Các tính năng tùy chỉnh trong Amazon GuardDuty giúp giảm alert fatigue và cải thiện khả năng phát hiện mối đe dọa thực sự.
Giảm alert fatigue giúp các đội ngũ an ninh tập trung vào các sự cố quan trọng, tiết kiệm thời gian và chi phí. Tùy chỉnh phát hiện phù hợp với môi trường AWS của doanh nghiệp.
Amazon GuardDuty vừa bổ sung tính năng tùy chỉnh để giảm số lượng cảnh báo không cần thiết. Các tính năng mới bao gồm Custom Detection Rules (Quy tắc phát hiện tùy chỉnh) cho phép người dùng điều chỉnh việc phát hiện mối đe dọa phù hợp với môi trường AWS cụ thể, cùng khả năng phân loại kết quả và tăng tốc điều tra.
Các nhóm an ninh thường gặp khó khăn trong việc xử lý số lượng cảnh báo lớn, thay vì việc cảnh báo quá nhiều. Khi một nhà phân tích kết luận một cảnh báo là do trình quét lỗ hổng hoặc tài khoản được cấu hình chia sẻ AMI công khai, việc phát hiện hoạt động bình thường nhưng không phù hợp với môi trường sẽ gây ra tình trạng mệt mỏi với cảnh báo. Điều này làm chậm phản hồi sự cố hoặc khiến nhóm bỏ qua cảnh báo.
GuardDuty liên tục giám sát, phân tích và xử lý dữ liệu từ các nguồn AWS như CloudTrail, VPC Flow Logs và Route 53 DNS query logs. Khi phát hiện hoạt động đáng ngờ, GuardDuty tạo ra một finding (kết quả) chứa thông tin chi tiết về hành vi, tài nguyên liên quan và bằng chứng hỗ trợ.
AWS đã phát hành các tính năng tùy chỉnh trong GuardDuty, mới nhất là Custom Detection Rules. Tính năng này cung cấp 90 quy tắc được xây dựng sẵn cho các sự kiện CloudTrail và GuardDuty Runtime Monitoring, tạo ra 38 loại finding liên kết với 13 chiến thuật MITRE ATT&CK. Danh mục này được duy trì bởi AWS CIRT, cung cấp hướng dẫn phát hiện và giảm thiểu rủi ro cụ thể cho môi trường AWS.
Để sử dụng các tính năng này, bạn cần: GuardDuty đã được kích hoạt, quyền IAM phù hợp, và GuardDuty Runtime Monitoring (nếu sử dụng Custom Detection Rules cho Runtime Monitoring). Bạn cũng cần một bucket S3 để lưu trữ danh sách mối đe dọa tùy chỉnh và cài đặt AWS CLI.
Ví dụ, việc chia sẻ AMI công khai có thể là hoạt động bình thường trong một tài khoản phân phối hình ảnh, nhưng là sự kiện bảo mật trong các tài khoản khác. Custom Detection Rules giúp bạn xử lý những khác biệt này mà không cần tự xây dựng logic phát hiện.
Câu hỏi thường gặp
Custom Detection Rules hoạt động như thế nào?
Custom Detection Rules là một thư viện các quy tắc được xây dựng sẵn, cho phép GuardDuty đánh giá các sự kiện CloudTrail và Runtime Monitoring. Bạn chọn các quy tắc phù hợp với môi trường của mình, giúp giảm số lượng cảnh báo không liên quan.
GuardDuty Runtime Monitoring là gì?
GuardDuty Runtime Monitoring là một tính năng bảo vệ bổ sung, không được bật mặc định. Nó cho phép GuardDuty phân tích các sự kiện runtime từ các máy chủ EC2, giúp phát hiện các hoạt động đáng ngờ trên máy chủ.
Tôi cần quyền IAM nào để sử dụng các tính năng tùy chỉnh?
Bạn cần quyền IAM để cấu hình các tính năng này trong GuardDuty. Chính sách AmazonGuardDutyFullAccess_v2 bao gồm các hành động cần thiết.
Góc nhìn của Orange Cloud
Theo chúng tôi, khả năng tùy chỉnh phát hiện mối đe dọa trong GuardDuty đặc biệt hữu ích cho các doanh nghiệp Việt Nam đang sử dụng AWS. Việc giảm số lượng cảnh báo sai sẽ giúp các đội ngũ an ninh tập trung vào các mối đe dọa thực sự. Các doanh nghiệp nên thử nghiệm Custom Detection Rules để điều chỉnh GuardDuty phù hợp với môi trường của mình. Tuy nhiên, cần cân nhắc việc bật GuardDuty Runtime Monitoring để tận dụng tối đa các tính năng mới.