Corriger une base de données potentiellement compromise

GuardDuty génère Types de résultat de la protection RDS qui indiquent un comportement de connexion potentiellement suspect et anormal chez vous une Bases de données prises en charge fois que vous l'avez activéGuardDuty Protection RDS. L'activité de connexion RDS permet d' GuardDuty analyser et de profiler les menaces en identifiant les modèles inhabituels lors des tentatives de connexion.

Note

Vous pouvez accéder aux informations complètes sur un type de résultat en le sélectionnant dans la Tableau des résultats.

Suivez ces étapes recommandées pour corriger une base de données Amazon Aurora potentiellement compromise dans votre AWS environnement.

Correction d'une base de données potentiellement compromise avec des événements de connexion réussie

Les étapes recommandées ci-dessous peuvent vous aider à corriger une base de données Aurora potentiellement compromise qui présente un comportement inhabituel lié à des événements de connexion réussie.

1. Identifiez la base de données et l'utilisateur concernés.

   Le GuardDuty résultat généré fournit le nom de la base de données affectée et les informations utilisateur correspondantes. Pour de plus amples informations, veuillez consulter Détails d’un résultat.

2. Vérifiez si ce comportement est attendu ou inattendu.

   La liste suivante indique les scénarios potentiels susceptibles d'avoir entraîné GuardDuty la génération d'un résultat :

   • Un utilisateur qui se connecte à sa base de données après une longue période.

   • Un utilisateur qui se connecte à sa base de données de façon occasionnelle, par exemple un analyste financier qui se connecte chaque trimestre.

   • Un acteur potentiellement suspect impliqué dans une tentative de connexion réussie peut compromettre la base de données.

3. Commencez cette étape si le comportement est inattendu.

   1. Restreindre l'accès à la base de données

      Limitez l'accès à la base de données pour les comptes suspects et la source de cette activité de connexion. Pour plus d’informations, consultez Correction d'informations d'identification compromises et Retreindre l'accès au réseau.

   2. Évaluez l'impact et déterminez quelles informations ont été consultées.

      • Le cas échéant, veuillez consulter les journaux d'audit pour identifier les informations susceptibles d'avoir été consultées. Pour de plus amples informations, veuillez consulter Surveillance des événements, des journaux et des flux dans un cluster de base de données Amazon Aurora dans le Guide de l'utilisateur Amazon Aurora.

      • Déterminez si des informations sensibles ou protégées ont été consultées ou modifiées.

Correction d'une base de données potentiellement compromise avec des événements de connexion échouée

Les étapes recommandées ci-dessous peuvent vous aider à corriger une base de données Aurora potentiellement compromise qui présente un comportement inhabituel lié à des événements de connexion échouée.

1. Identifiez la base de données et l'utilisateur concernés.

   Le GuardDuty résultat généré fournit le nom de la base de données affectée et les informations utilisateur correspondantes. Pour de plus amples informations, veuillez consulter Détails d’un résultat.

2. Identifiez la source des tentatives de connexion infructueuses.

   Le GuardDuty résultat généré fournit l'adresse IP et l'organisation ASN (s'il s'agissait d'une connexion publique) dans la section Acteur du panneau de recherche.

   Un système autonome est un groupe d'un ou de plusieurs préfixes IP (listes d'adresses IP accessibles sur un réseau) gérés par un ou plusieurs opérateurs réseau qui appliquent une stratégie de routage unique et clairement définie. Les opérateurs réseau ont besoin de numéros de système autonomes (ASN) pour contrôler le routage au sein de leurs réseaux et pour échanger des informations de routage avec d'autres fournisseurs de services Internet (FSI).

3. Vérifiez que ce comportement est inattendu.

   Vérifiez si cette activité représente une tentative d'obtenir un accès non autorisé supplémentaire à la base de données comme suit :

   • Si la source est interne, vérifiez si une application est mal configurée et tente de se connecter à plusieurs reprises.

   • S'il s'agit d'un acteur externe, vérifiez si la base de données correspondante est accessible au public ou si elle est mal configurée, ce qui permet à des acteurs malveillants potentiels de recourir à une attaque en force visant à obtenir les noms d'utilisateur courants.

4. Commencez cette étape si le comportement est inattendu.

   1. Restreindre l'accès à la base de données

      Limitez l'accès à la base de données pour les comptes suspects et la source de cette activité de connexion. Pour plus d’informations, consultez Correction d'informations d'identification compromises et Retreindre l'accès au réseau.

   2. Effectuez une analyse des causes profondes et déterminez les étapes qui ont potentiellement donné lieu à cette activité.

      Configurez une alerte pour être averti lorsqu'une activité modifie une stratégie réseau et crée un état non sécurisé. Pour plus d'informations, veuillez consulter Politiques de pare-feu dans AWS Network Firewall dans le Guide du développeurAWS Network Firewall (langue française non garantie).

Correction d'informations d'identification compromises

Une GuardDuty découverte peut indiquer que les informations d'identification d'utilisateur d'une base de données affectée ont été compromises lorsque l'utilisateur identifié dans la recherche a effectué une opération de base de données inattendue. Vous pouvez identifier l'utilisateur dans la section Détails de l'utilisateur de la base de données RDS dans le panneau de résultat de la console, ou dans les resource.rdsDbUserDetails des résultats JSON. Ces informations utilisateur incluent le nom d'utilisateur, l'application utilisée, la base de données consultée, la version SSL et la méthode d'authentification.

• Pour révoquer l'accès ou modifier les mots de passe pour des utilisateurs spécifiques impliqués dans le résultat, veuillez consulter Sécurité avec Amazon Aurora MySQL ou Sécurité avec Amazon Aurora PostgreSQL dans le Guide de l'utilisateur Amazon Aurora.

• AWS Secrets Manager À utiliser pour stocker en toute sécurité et transférer automatiquement les secrets des bases de données Amazon Relational Database Service (RDS). Pour plus d'informations, veuillez consulter la rubrique DidacticielsAWS Secrets Manager dans le Guide de l'utilisateurAWS Secrets Manager .

• Utilisez l'authentification de base de données IAM pour gérer l'accès des utilisateurs de base de données sans avoir besoin de mots de passe. Pour de plus amples informations, veuillez consulter Authentification de base de données IAM dans le Guide de l'utilisateur Amazon Aurora.

  Pour de plus amples informations, veuillez consulter Bonnes pratiques en matière de sécurité pour Amazon Relational Database Service dans le Guide de l'utilisateur Amazon RDS.

Retreindre l'accès au réseau

Une GuardDuty découverte peut indiquer qu'une base de données est accessible au-delà de vos applications ou du Virtual Private Cloud (VPC). Si l'adresse IP distante indiquée dans le résultat est une source de connexion inattendue, vérifiez les groupes de sécurité. La liste des groupes de sécurité attachés à la base de données est disponible sous Groupes de sécurité dans la console https://console.aws.amazon.com/rds/ ou dans les resource.rdsDbInstanceDetails.dbSecurityGroups du fichier JSON des résultats. Pour de plus amples informations sur la configuration des groupes de sécurité, veuillez consulter Contrôle d'accès par groupes de sécurité dans le Guide de l'utilisateur Amazon RDS.

Si vous utilisez un pare-feu, limitez l'accès réseau à la base de données en reconfigurant les listes de contrôle d'accès réseau (NACL). Pour plus d'informations, veuillez consulter Pare-feux dans AWS Network Firewall dans le Guide du développeurAWS Network Firewall .