Detecção de Ameaças na Nuvem com GuardDuty

Quando Usar

• Ao estabelecer detecção contínua de ameaças para contas AWS novas ou existentes
• Ao investigar descobertas do GuardDuty relacionadas a instâncias comprometidas, abuso de credenciais ou exfiltração de dados
• Ao construir playbooks automatizados de resposta a incidentes acionados por descobertas do GuardDuty
• Ao estender a cobertura de ameaças para cargas de trabalho de contêineres em execução no EKS, ECS ou Fargate
• Ao habilitar a varredura de malware para volumes EBS anexados a instâncias EC2 suspeitas

Não use para detecção de ameaças no Azure ou GCP (consulte securing-azure-with-microsoft-defender ou auditing-gcp-security-posture), para análise estática de código ou para monitoramento de postura de conformidade (consulte implementing-aws-security-hub).

Pré-requisitos

• Conta AWS com permissões administrativas do GuardDuty (guardduty:*)
• AWS CloudTrail, VPC Flow Logs e logs de consulta DNS habilitados (o GuardDuty os consome automaticamente)
• AWS Organizations configurado se estiver implantando o GuardDuty em um ambiente com várias contas
• EventBridge e Lambda configurados para fluxos de trabalho de resposta automatizada

Fluxo de Trabalho

Etapa 1: Habilitar GuardDuty e Planos de Proteção

Ative o GuardDuty no nível da organização usando uma conta de administrador delegada. Habilite todos os planos de proteção, incluindo Proteção S3, Monitoramento de Log de Auditoria EKS, Monitoramento de Tempo de Execução, Proteção contra Malware, Atividade de Login RDS e Monitoramento de Atividade de Rede Lambda.

# Enable GuardDuty as organization delegated administrator
aws guardduty create-detector \
  --enable \
  --finding-publishing-frequency FIFTEEN_MINUTES \
  --data-sources '{
    "S3Logs": {"Enable": true},
    "Kubernetes": {"AuditLogs": {"Enable": true}},
    "MalwareProtection": {"ScanEc2InstanceWithFindings": {"EbsVolumes": true}}
  }'

# Enable Runtime Monitoring for EC2 and ECS
aws guardduty update-detector \
  --detector-id <detector-id> \
  --features '[
    {"Name": "RUNTIME_MONITORING", "Status": "ENABLED",
     "AdditionalConfiguration": [
       {"Name": "ECS_FARGATE_AGENT_MANAGEMENT", "Status": "ENABLED"},
       {"Name": "EC2_AGENT_MANAGEMENT", "Status": "ENABLED"}
     ]}
  ]'

# Designate delegated admin for multi-account
aws guardduty enable-organization-admin-account \
  --admin-account-id 111122223333

Etapa 2: Configurar Agregação de Múltiplas Contas

Inscreva automaticamente todas as contas membro da organização e configure a exportação de descobertas para um bucket S3 centralizado para retenção e ingestão de SIEM.

# Auto-enable GuardDuty for all org members
aws guardduty update-organization-configuration \
  --detector-id <detector-id> \
  --auto-enable-organization-members ALL \
  --features '[
    {"Name": "S3_DATA_EVENTS", "AutoEnable": "ALL"},
    {"Name": "EKS_AUDIT_LOGS", "AutoEnable": "ALL"},
    {"Name": "RUNTIME_MONITORING", "AutoEnable": "ALL"}
  ]'

# Configure finding export to S3
aws guardduty create-publishing-destination \
  --detector-id <detector-id> \
  --destination-type S3 \
  --destination-properties '{
    "DestinationArn": "arn:aws:s3:::guardduty-findings-centralized",
    "KmsKeyArn": "arn:aws:kms:us-east-1:123456789012:key/key-id"
  }'

Etapa 3: Interpretar Tipos de Descoberta e Níveis de Gravidade

O GuardDuty classifica as descobertas em quatro níveis de gravidade: Crítico, Alto, Médio e Baixo. Cada tipo de descoberta segue o formato Propósito da Ameaça:Tipo de Recurso/Nome da Ameaça. A Detecção de Ameaças Estendida gera descobertas de sequência de ataque que correlacionam múltiplos eventos ao longo do tempo.

Categorias principais de descobertas:

• Recon: Varredura de portas, enumeração de API (por exemplo, Recon:EC2/PortProbeUnprotectedPort)
• Acesso Não Autorizado: Abuso de credenciais, logins no console de locais incomuns
• Criptomoeda: Atividade de mineração detectada em instâncias (por exemplo, CryptoCurrency:EC2/BitcoinTool.B)
• Impacto: Sequestro de recursos, tentativas de destruição de dados
• Sequência de Ataque: Ataques de múltiplos estágios correlacionando acesso inicial através de movimento lateral até o impacto (gravidade Crítica)

Etapa 4: Construir Resposta Automatizada com EventBridge

Crie regras do EventBridge que roteiam as descobertas do GuardDuty para funções Lambda para ações de contenção automatizadas, como isolar instâncias EC2 comprometidas, revogar credenciais IAM ou bloquear endereços IP maliciosos.

# Regra do EventBridge para descobertas de GuardDuty de alta/crítica gravidade
aws events put-rule \
  --name GuardDutyHighSeverity \
  --event-pattern '{
    "source": ["aws.guardduty"],
    "detail-type": ["GuardDuty Finding"],
    "detail": {
      "severity": [{"numeric": [">=", 7]}]
    }
  }'


…