亚马逊AWS官方博客
·
推出 Amazon GuardDuty 扩展威胁检测功能，扩大 Amazon EKS 集群覆盖范围
内容提要
AWS推出Amazon GuardDuty，增强Amazon EKS的安全监控，自动关联审计日志与运行时行为，识别复杂攻击模式，帮助安全团队更有效地检测和应对威胁。
关键要点
-
AWS推出Amazon GuardDuty，增强Amazon EKS的安全监控。
-
GuardDuty扩展威胁检测功能，自动关联审计日志与运行时行为。
-
识别复杂攻击模式，帮助安全团队更有效地检测和应对威胁。
-
传统监控方法难以检测多阶段攻击，GuardDuty提供新的严重性调查发现类型。
-
GuardDuty使用关联算法识别潜在危害的操作序列，提供详细的攻击序列信息。
-
启用EKS扩展威胁检测需要至少启用EKS保护或运行时监控。
-
GuardDuty通过监控EKS审计日志和容器内行为，创建EKS集群的完整视图。
-
用户可以从控制面板查看与Kubernetes集群相关的攻击序列和调查发现。
-
调查发现详细信息页面提供复杂攻击序列的可见性，帮助了解潜在危害。
-
Amazon GuardDuty扩展威胁检测可在Kubernetes环境中提供全面的安全监控。
延伸解读
复杂攻击模式的识别
Amazon GuardDuty 扩展威胁检测功能通过自动关联审计日志和运行时行为，能够识别传统监控方法难以察觉的复杂攻击模式。这种能力对于安全团队来说至关重要，因为多阶段攻击往往涉及多个数据源，传统方法可能无法全面捕捉到这些攻击的全貌。
启用检测功能的要求
要启用 Amazon GuardDuty 的扩展威胁检测，用户必须至少启用 EKS 保护或运行时监控。为了获得最佳的检测效果，建议同时启用这两项功能。这意味着用户在配置时需要考虑到不同功能的协同作用，以确保全面的安全监控。
调查发现的实用性
GuardDuty 提供的调查发现详细信息页面能够帮助用户深入了解潜在的安全威胁。通过将观察到的行为映射到 MITRE ATT&CK® 策略，用户可以更好地理解攻击者的行为模式，从而制定有效的应对策略。这种可视化的分析工具对于快速响应安全事件至关重要。
延伸问答
Amazon GuardDuty 扩展威胁检测的主要功能是什么？
Amazon GuardDuty 扩展威胁检测增强了 Amazon EKS 的安全监控，自动关联审计日志与运行时行为，识别复杂攻击模式。
如何启用 Amazon GuardDuty 的 EKS 扩展威胁检测？
要启用 EKS 扩展威胁检测，需在 GuardDuty 控制台中启用 EKS 保护或运行时监控，建议同时启用这两项功能。
GuardDuty 如何识别复杂攻击模式？
GuardDuty 使用关联算法自动关联审计日志和运行时行为，识别潜在的复杂攻击序列。
使用 Amazon GuardDuty 的好处是什么？
使用 Amazon GuardDuty 可以更有效地检测和应对复杂的多阶段攻击，提供详细的攻击序列信息和补救建议。
Amazon GuardDuty 如何帮助安全团队？
Amazon GuardDuty 通过提供攻击序列的详细信息和映射到 MITRE ATT&CK 策略，帮助安全团队了解威胁的性质和优先处理补救工作。
EKS 扩展威胁检测的监控范围包括哪些内容？
EKS 扩展威胁检测监控包括审计日志、容器内行为、恶意软件执行和 AWS API 活动。
