Types de résultat de la protection Lambda

Cette section décrit les types de résultat propres à vos ressources AWS Lambda et pour lesquels le resourceType est répertorié comme Lambda. Pour tous les résultats Lambda, nous vous recommandons d'examiner la ressource en question et de déterminer si elle se comporte comme prévu. Si l'activité est autorisée, vous pouvez utiliser des règles de suppression ou des adresses IP approuvées et des listes de menaces pour éviter les notifications faussement positives pour cette ressource.

Si l'activité est inattendue, la bonne pratique en matière de sécurité consiste à partir du principe que Lambda a été potentiellement compromis et à suivre les recommandations de correction.

Backdoor:Lambda/C&CActivity.B

Une fonction Lambda interroge une adresse IP associée à un serveur de commande et de contrôle connu.

Gravité par défaut : élevée

• Fonctionnalité : surveillance de l'activité du réseau Lambda

Ce résultat vous informe que la fonction Lambda répertoriée dans votre environnement AWS interroge une adresse IP associée à un serveur de commande et de contrôle connu. La fonction Lambda associée au résultat généré est potentiellement compromise. Les serveurs de commande et de contrôle sont des ordinateurs qui lancent des commandes vers les membres d'un botnet.

Un botnet est un ensemble d'appareils connectés à Internet (PC, serveurs, appareils mobiles et appareils de l'Internet des objets, etc.) qui est infecté et contrôlé par un type courant de programme malveillant. Les botnets sont souvent utilisés pour distribuer des programmes malveillants et voler des informations, telles que des numéros de carte de crédit. Selon l'objectif et la structure du botnet, le serveur de commande et de contrôle peut également être amené à émettre des commandes pour lancer un déni de service distribué (DDoS).

Recommandations de correction :

Si cette activité est imprévue, il se peut que votre fonction Lambda soit compromise. Pour de plus amples informations, veuillez consulter Corriger une fonction Lambda potentiellement compromise.

CryptoCurrency:Lambda/BitcoinTool.B

Une fonction Lambda interroge une adresse IP associée à une activité liée à une cryptomonnaie.

Gravité par défaut : élevée

• Fonctionnalité : surveillance de l'activité du réseau Lambda

Ce résultat vous informe que la fonction Lambda répertoriée de votre environnement AWS interroge une adresse IP associée à une activité liée au Bitcoin ou à une autre cryptomonnaie. Les acteurs malveillants peuvent chercher à prendre le contrôle des fonctions Lambda afin de les réutiliser de manière malveillante à des fins d'exploitation non autorisée de cryptomonnaies.

Recommandations de correction :

Si vous utilisez cette fonction Lambda pour exploiter ou gérer des cryptomonnaies, ou si cette fonction est impliquée d'une autre manière dans une activité de blockchain, il s'agit potentiellement d'une activité attendue pour votre environnement. Si c'est le cas dans votre environnement AWS, nous vous recommandons de configurer une règle de suppression pour ce résultat. La règle de suppression doit comprendre deux critères de filtre. Le premier critère doit utiliser l'attribut Type de résultat avec la valeur CryptoCurrency:Lambda/BitcoinTool.B. Le deuxième critère de filtre doit être le nom de la fonction Lambda de la fonction impliquée dans l'activité de blockchain. Pour plus d'informations sur la création de règles de suppression, veuillez consulter Règles de suppression (langue française non garantie).

Si cette activité est imprévue, il est possible que votre fonction Lambda soit compromise. Pour de plus amples informations, veuillez consulter Corriger une fonction Lambda potentiellement compromise.

Trojan:Lambda/BlackholeTraffic

Une fonction Lambda tente de communiquer avec une adresse IP d'un hôte distant qui est un trou noir connu.

Gravité par défaut : moyenne

• Fonctionnalité : surveillance de l'activité du réseau Lambda

Ce résultat vous informe qu'une fonction Lambda répertoriée dans votre environnement AWS essaie de communiquer avec l'adresse IP d'un trou noir (ou gouffre). Les trous noirs sont des zones du réseau où le trafic entrant ou sortant est supprimé silencieusement sans informer la source que les données n'ont pas atteint leur destinataire. Une adresse IP de trou noir désigne une machine hôte qui n'est pas en cours d'exécution ou une adresse à laquelle aucun hôte n'a été attribué. La fonction Lambda répertoriée est potentiellement compromise.

Recommandations de correction :

Si cette activité est imprévue, il se peut que votre fonction Lambda soit compromise. Pour de plus amples informations, veuillez consulter Corriger une fonction Lambda potentiellement compromise.

Trojan:Lambda/DropPoint

Une fonction Lambda tente de communiquer avec une adresse IP d'un hôte distant connu pour contenir les informations d'identification et d'autres données volées capturées par des programmes malveillants.

Gravité par défaut : moyenne

• Fonctionnalité : surveillance de l'activité du réseau Lambda

Ce résultat vous informe qu'une fonction Lambda répertoriée de votre environnement AWS tente de communiquer avec une adresse IP d'un hôte distant connu pour contenir les informations d'identification et d'autres données volées capturées par des programmes malveillants.

Recommandations de correction :

Si cette activité est imprévue, il se peut que votre fonction Lambda soit compromise. Pour de plus amples informations, veuillez consulter Corriger une fonction Lambda potentiellement compromise.

UnauthorizedAccess:Lambda/MaliciousIPCaller.Custom

Une fonction Lambda établit des connexions à une adresse IP figurant sur une liste de menaces personnalisée.

Gravité par défaut : moyenne

• Fonctionnalité : surveillance de l'activité du réseau Lambda

Ce résultat vous informe qu'une fonction Lambda de votre environnement AWS communique avec une adresse IP figurant sur une liste de menaces que vous avez téléchargée. Dans GuardDuty, une liste de menaces comporte des adresses IP malveillantes connues. GuardDuty génère des résultats en fonction des listes de menaces chargées. Vous pouvez afficher les détails de la liste des menaces dans les détails du résultat de la console GuardDuty.

Recommandations de correction :

Si cette activité est imprévue, il se peut que votre fonction Lambda soit compromise. Pour de plus amples informations, veuillez consulter Corriger une fonction Lambda potentiellement compromise.

UnauthorizedAccess:Lambda/TorClient

Une fonction Lambda est en train de se connecter à un nœud Tor Guard ou Authority.

Gravité par défaut : élevée

• Fonctionnalité : surveillance de l'activité du réseau Lambda

Ce résultat vous informe qu'une fonction Lambda de votre environnement AWS est en train de se connecter à un nœud Tor Guard ou Authority. Tor est un logiciel permettant d'activer les communications anonymes. Le nœud Tor Guard et Authority agit en tant que passerelles initiales dans un réseau Tor. Ce trafic peut indiquer que cette fonction Lambda a été potentiellement compromise. Il agit désormais en tant que client sur un réseau Tor.

Recommandations de correction :

Si cette activité est imprévue, il se peut que votre fonction Lambda soit compromise. Pour de plus amples informations, veuillez consulter Corriger une fonction Lambda potentiellement compromise.

UnauthorizedAccess:Lambda/TorRelay

Une fonction Lambda est en train de se connecter à un réseau Tor en tant que relais Tor.

Gravité par défaut : élevée

• Fonctionnalité : surveillance de l'activité du réseau Lambda

Ce résultat vous informe qu'une fonction Lambda de votre environnement AWS est en train de se connecter à un réseau Tor d'une façon qui suggère qu'elle agit en tant que relais Tor. Tor est un logiciel permettant d'activer les communications anonymes. Tor active une communication anonyme en réacheminant le trafic potentiellement illicite du client d'un relais Tor à un autre.

Recommandations de correction :

Si cette activité est imprévue, il se peut que votre fonction Lambda soit compromise. Pour de plus amples informations, veuillez consulter Corriger une fonction Lambda potentiellement compromise.