Amazon GuardDuty DeepDive: detecção de ameaças avançada na AWS

Luiz Machado

Luiz Machado

— 4 min read

O que é ?

O Amazon GuardDuty é um serviço de detecção de ameaças (Threat Detection) totalmente gerenciado que monitora e analisa continuamente os logs de eventos da sua conta AWS para identificar atividades potencialmente maliciosas ou comportamentos não convencionais. Ele utiliza ML, análise estatística e fontes de inteligência de ameaças para ajudar a proteger seus recursos e dados na AWS.

1. Visão Geral do GuardDuty

  • Detecção de Ameaças Continuada
    O GuardDuty permanece ativo e em segundo plano, analisando eventos dos serviços AWS. Ele gera findings quando detecta anomalias ou comportamentos que sugerem possíveis ameaças, como tentativas de escalonamento de privilégios, acessos suspeitos de IPs maliciosos ou tráfego de rede fora do padrão.
  • Modelo Gerenciado
    Como serviço nativo da AWS, o GuardDuty não exige que você gerencie infraestrutura de análise ou mantenha regras de correlação. Ele utiliza dados obtidos de várias fontes e correlaciona automaticamente comportamentos, aproveitando recursos de machine learning e insights de inteligência de ameaças.
  • Foco em Conta e Workload
    GuardDuty abrange uma visão ampla: desde ações executadas em nível de conta (chamadas de API, credenciais comprometidas etc.) até análise de tráfego de rede em workloads hospedados na AWS (Amazon EC2, ECR, S3, EKS, entre outros).

2. Principais Funcionalidades

2.1 Monitoramento de Múltiplas Fontes

O GuardDuty integra dados de diferentes fontes para ter uma visão coesa da atividade de segurança:

  1. AWS CloudTrail: inclui eventos de API e mudanças em recursos AWS.
  2. VPC Flow Logs: informações sobre tráfego de rede entre instâncias, subnets e internet.
  3. DNS Logs (por meio do Amazon Route 53 ou DNS resolvers gerenciados pela AWS): registros de requisições DNS, permitindo identificar consultas suspeitas (por exemplo, a domínios conhecidos por hospedar malware).

Além disso, novos recursos lançados ao longo do tempo ampliam ainda mais o escopo de proteção, como:

  • ECR Scanning Integration: identifica imagens vulneráveis ou maliciosas no Amazon Elastic Container Registry.
  • Kubernetes Audit Logs (para EKS): monitora eventos específicos do cluster Kubernetes, como criação de pods suspeitos, tentativas de escalonamento de privilégios etc.
  • S3 Protection: varre comportamentos de acesso (list, get, put) nos buckets do S3 para detectar acesso suspeito ou exfiltração.

2.2 Machine Learning e Inteligência de Ameaças

  • Detecção de Comportamentos Anômalos: O GuardDuty utiliza algoritmos de ML para comparar o comportamento atual com padrões históricos, sinalizando desvios relevantes, como alto volume de chamadas de API em curto período ou tráfego para locais inusitados.
  • Feeds de Ameaças: A AWS agrega informações de fontes confiáveis (por exemplo, AWS Threat Intel, CrowdStrike, Proofpoint) para identificar endereços IP associados a atividades maliciosas, phishing, botnets, entre outros.

2.3 Extended Threat Detection

  • Aprimorando a Visão de Ameaças: Anunciado no re:Invent 2024, o Extended Threat Detection permite identificar atividades que evoluem em estágios (multi-stage). Por exemplo, um atacante que inicialmente obtém credenciais de uma conta, em seguida realiza varreduras na rede, e por fim extrai dados do S3.
  • Threat Sequence Findings: O GuardDuty correlaciona eventos ao longo do tempo, relacionando recursos diferentes (EC2, IAM, S3, EKS) para fornecer um alerta abrangente. Isso reduz falsos positivos e minimiza o tempo de investigação.

3. Como o GuardDuty Funciona na Prática

  1. Coleta de Dados: GuardDuty ingere continuamente logs de serviços como CloudTrail, DNS e VPC Flow Logs.
  2. Análise: O serviço normaliza, correlaciona e analisa esses dados por meio de modelos estatísticos, ML e listas de ameaças (Threat Intel).
  3. Findings: Caso identifique algo suspeito, o GuardDuty gera um finding, atribuindo uma classificação (severity) e incluindo detalhes da causa (quem, quando, qual recurso foi afetado).
  4. Integração: Você pode visualizar findings no console do GuardDuty, no Amazon EventBridge (para acionar workflows), no AWS Security Hub ou ainda via APIs.

4. Arquitetura de Integração e Configuração

4.1 Habilitando GuardDuty em Múltiplas Contas

  • AWS Organizations:
    • Você pode habilitar o GuardDuty em todas as contas membros de uma Organization de forma centralizada.
    • Defina uma conta “administradora” (delegated administrator) que coleta todos os findings, facilitando gestão e correlação em nível global.

4.2 Integração com AWS Security Hub

  • Visão Consolidada:
    • O Security Hub unifica achados de diversos serviços (GuardDuty, Inspector, Macie, e soluções de parceiros) em um só lugar, permitindo análises e priorização de incidentes.
    • Crie regras de automação via Amazon EventBridge para iniciar processos de remediação. Por exemplo, bloquear um IP suspeito em um Security Group ou acionar um Lambda que revoga chaves comprometidas.

5. Casos de Uso Avançados

5.1 Proteção para Kubernetes (EKS)

  • EKS Audit Logs: GuardDuty pode analisar logs de auditoria (Kubernetes API) em clusters EKS, detectando ações como criação suspeita de ClusterRoles, pods em namespaces incomuns, ou requisições que tentem explorar vulnerabilidades conhecidas.
  • Complemento de Network Flow: Ao combinar EKS Audit Logs e VPC Flow Logs, você obtém uma visão unificada, podendo correlacionar configurações internas do cluster com tráfego externo.

5.2 S3 Protection e Detecção de Exfiltração

  • S3 Data Events: Ao ativar a proteção para S3, o GuardDuty monitora acessos a buckets, detectando padrões suspeitos:
    • Aumento repentino de downloads do S3.
    • Acesso incomum de regiões geográficas não usuais.
    • Tarefas automatizadas usando credenciais comprometidas.

5.3 Resposta Automática a Incidentes

  • EventBridge e Lambda: Cada finding do GuardDuty pode gerar um evento no EventBridge. Você pode configurar um fluxo (rule) para acionar funções Lambda ou Step Functions que implementem contramedidas imediatas:
    • Revogar chaves de acesso IAM expostas.
    • Ajustar Security Groups para bloquear endereços IP ou portas suspeitas.
    • Encerrar instâncias EC2 envolvidas em comportamento malicioso.

5.4 Detecção de Malware

  • Malware Protection: Em algumas regiões, o GuardDuty oferece análises de malware, inspecionando dados em discos de instâncias EC2 quando há suspeita de infecção. Ele gera findings com detalhes sobre a detecção e o tipo de malware.

6. Métricas de Custo e Otimização

  • Modelo de Preço
    • GuardDuty cobra de acordo com a quantidade de logs (eventos) analisados. Estão incluídos na conta do GuardDuty o processamento de CloudTrail Events, VPC Flow Logs e DNS Logs.
    • É possível ativar a trial de 30 dias para avaliar o serviço. Após esse período, recomenda-se revisar as métricas para ajustar escopo (por exemplo, habilitar ou desabilitar certas funções, como S3 Protection, se não forem necessárias em todos os buckets).
  • Reduzindo Custo
    • Se você tem tráfego massivo em VPC Flow Logs, pode segmentar o que realmente precisa ser monitorado. Mesmo assim, tenha cuidado para não desativar logs importantes.
    • Avalie a ativação seletiva do GuardDuty para EKS ou S3 em contas/recursos onde o risco é maior, caso o custo seja um fator crítico.

7. Melhores Práticas de Implementação

  1. Habilite GuardDuty em Todas as Contas
    • A ameaça pode se propagar por várias contas, especialmente se chaves ou roles foram comprometidas.
  2. Ative Proteção para S3 e EKS
    • Mesmo se você não processar dados sensíveis, monitorar acessos e comportamentos em S3 e EKS evita vazamentos ou ataques internos.
  3. Integre com o AWS Security Hub
    • Concentre todos os findings em um local, criando regras automáticas de priorização e escalonamento para seu time de segurança.
  4. Automatize a Resposta
    • Use Amazon EventBridge para acionar Lambda ao receber findings de severidade alta. Implementar respostas rápidas (quase em tempo real) reduz a janela de exposição.
  5. Tenha Visibilidade Contínua
    • Crie dashboards ou relatórios periódicos. Algumas empresas configuram scripts para enviar notificações e relatórios diários/semanais de findings críticos.
  6. Eduque o Time
    • Garanta que a equipe de segurança e DevOps entenda a lógica de detecção do GuardDuty, interpretando findings de forma correta e sabendo priorizar incidentes reais.

Material de referência:

Read more