36、AWS安全架构：检测、防护与加密全解析

AWS安全架构：检测、防护与加密全解析

1. 检测控制服务

1.1 Amazon GuardDuty

Amazon GuardDuty通过分析VPC流日志、CloudTrail管理事件日志和Route 53 DNS查询日志，来查找已知的恶意IP地址、域名和潜在的恶意活动。无需将日志流式传输到CloudWatch Logs，它就能进行分析。

当检测到潜在安全问题时，会创建一个“发现”（finding），这是一个详细描述可疑活动的通知。该通知会显示在GuardDuty控制台，并发送到CloudWatch Events。你可以配置SNS通知来发送警报或采取相应行动。发现类型主要有以下几种：
| 发现类型 | 描述 |
| — | — |
| Backdoor | EC2实例被可用于发送垃圾邮件或参与DDoS攻击的恶意软件入侵 |
| Behavior | EC2实例在异常协议和端口上通信，或向外部主机发送异常大量流量 |
| Cryptocurrency | EC2实例表现出作为比特币节点运行的网络活动 |
| Pentest | 运行Kali Linux、Pentoo Linux或Parrot Linux的系统对AWS资源进行API调用 |
| Persistence | 无相关历史的IAM用户修改了用户或资源权限、安全组、路由或网络ACL |
| Policy | 使用了根用户凭证或禁用了S3阻止公共访问 |
| Recon | 可能正在进行侦察攻击，如恶意IP探测EC2实例、尝试调用API或IAM用户枚举资源权限 |
| ResourceConsumption | 无相关历史的