36、AWS安全架构：检测控制、网络边界保护与数据加密全解析

AWS安全架构：检测控制、网络边界保护与数据加密全解析

1. 检测控制服务

1.1 Amazon GuardDuty

Amazon GuardDuty通过分析VPC流日志、CloudTrail管理事件日志和Route 53 DNS查询日志，来查找已知的恶意IP地址、域名和潜在的恶意活动。无需将日志流式传输到CloudWatch Logs，它就能进行分析。

当检测到潜在安全问题时，会创建一个“发现”（finding），这是一个详细说明可疑活动的通知。“发现”会显示在GuardDuty控制台，并发送到CloudWatch Events。你可以配置SNS通知来发送警报或采取相应行动。

“发现”类型包括：
| 发现类型 | 描述 |
| — | — |
| Backdoor | EC2实例被可用于发送垃圾邮件或参与分布式拒绝服务（DDoS）攻击的恶意软件入侵 |
| Behavior | EC2实例以异常的协议和端口进行通信，或向外部主机发送异常大量的流量 |
| Cryptocurrency | EC2实例表现出作为比特币节点运行的网络活动，如发送、接收或挖掘比特币 |
| Pentest | 运行Kali Linux、Pentoo Linux或Parrot Linux（用于渗透测试的Linux发行版）的系统正在对AWS资源进行API调用 |
| Persistence | 之前没有此类操作历史的IAM用户修改了用户或资源权限、安全组、路由或网络ACL |
| Policy | 使用了根用户凭证或禁用了S3阻止公共访问 |
| Recon | 可能正在进行侦察攻击，如已知恶