Jenis penemuan Runtime Monitoring

Amazon GuardDuty menghasilkan temuan Runtime Monitoring berikut untuk menunjukkan potensi ancaman berdasarkan perilaku tingkat sistem operasi dari host dan container Amazon EC2 di cluster Amazon EKS, beban kerja Fargate dan Amazon ECS, serta instans Amazon EC2.

catatan

Jenis pencarian Runtime Monitoring didasarkan pada log runtime yang dikumpulkan dari host. Log berisi bidang seperti jalur file yang dapat dikontrol oleh aktor jahat. Bidang ini juga termasuk dalam GuardDuty temuan untuk memberikan konteks runtime. Saat memproses temuan Runtime Monitoring di luar GuardDuty konsol, Anda harus membersihkan bidang pencarian. Misalnya, Anda dapat menyandikan HTML bidang pencarian saat menampilkannya di halaman web.

CryptoCurrency:Runtime/BitcoinTool.B

Instans Amazon EC2 atau wadah menanyakan alamat IP yang terkait dengan aktivitas terkait cryptocurrency.

Tingkat keparahan default: Tinggi

• Fitur: Pemantauan Runtime

Temuan ini memberi tahu Anda bahwa instans EC2 yang terdaftar atau wadah di AWS lingkungan Anda menanyakan Alamat IP yang terkait dengan aktivitas terkait cryptocurrency. Aktor ancaman mungkin berusaha untuk mengambil kendali atas sumber daya komputasi untuk menggunakannya kembali secara jahat untuk penambangan cryptocurrency yang tidak sah.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika Anda menggunakan instans EC2 ini atau wadah untuk menambang atau mengelola cryptocurrency, atau salah satu dari ini terlibat dalam aktivitas blockchain, CryptoCurrency:Runtime/BitcoinTool.B temuan tersebut dapat mewakili aktivitas yang diharapkan untuk lingkungan Anda. Jika ini terjadi di AWS lingkungan Anda, kami sarankan Anda membuat aturan penindasan untuk temuan ini. Aturan penekanan harus terdiri dari dua kriteria filter. Kriteria filter pertama harus menggunakan atribut Finding type dengan nilai. CryptoCurrency:Runtime/BitcoinTool.B Kriteria filter kedua harus berupa ID Instance dari instance atau Container Image ID dari container yang terlibat dalam cryptocurrency atau aktivitas terkait blockchain. Untuk informasi selengkapnya, lihat Aturan penindasan.

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

Backdoor:Runtime/C&CActivity.B

Instans Amazon EC2 atau wadah menanyakan IP yang terkait dengan server perintah dan kontrol yang diketahui.

Tingkat keparahan default: Tinggi

• Fitur: Pemantauan Runtime

Temuan ini memberi tahu Anda bahwa instans EC2 yang terdaftar atau wadah dalam AWS lingkungan Anda sedang menanyakan IP yang terkait dengan server perintah dan kontrol (C&C) yang diketahui. Instance atau wadah yang terdaftar mungkin berpotensi dikompromikan. Server perintah dan kontrol adalah komputer yang mengeluarkan perintah untuk anggota botnet.

Botnet adalah kumpulan perangkat yang terhubung ke internet yang mungkin mencakup PC, server, perangkat seluler, dan perangkat Internet of Things, yang terinfeksi dan dikendalikan oleh jenis malware yang umum. Botnet sering digunakan untuk mendistribusikan malware dan mengumpulkan informasi yang disalahgunakan, seperti nomor kartu kredit. Tergantung pada tujuan dan struktur botnet, server C&C mungkin juga mengeluarkan perintah untuk memulai serangan penolakan layanan terdistribusi (DDoS).

catatan

Jika IP yang ditanyakan terkait log4j, maka bidang temuan terkait akan mencakup nilai-nilai berikut:

• service.additionalInfo.threatListName = Amazon

• service.additionalInfo.threatName = Log4j Related

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

UnauthorizedAccess:Runtime/TorRelay

Instans Amazon EC2 Anda atau wadah membuat koneksi ke jaringan Tor sebagai relai Tor.

Tingkat keparahan default: Tinggi

• Fitur: Pemantauan Runtime

Temuan ini memberi tahu Anda bahwa instans EC2 atau wadah di AWS lingkungan Anda membuat koneksi ke jaringan Tor dengan cara yang menunjukkan bahwa itu bertindak sebagai relai Tor. Tor adalah perangkat lunak untuk memungkinkan komunikasi anonim. Tor meningkatkan anonimitas komunikasi dengan meneruskan lalu lintas klien yang kemungkinan terlarang dari satu relay Tor ke relay lainnya.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

UnauthorizedAccess:Runtime/TorClient

Instans Amazon EC2 atau container membuat koneksi ke Tor Guard atau node Authority.

Tingkat keparahan default: Tinggi

• Fitur: Pemantauan Runtime

Temuan ini memberi tahu Anda bahwa instans EC2 atau wadah di AWS lingkungan Anda membuat koneksi ke Tor Guard atau node Authority. Tor adalah perangkat lunak untuk memungkinkan komunikasi anonim. Node Tor Guards dan Authority bertindak sebagai gateway awal ke dalam jaringan Tor. Lalu lintas ini dapat menunjukkan bahwa instans EC2 ini atau wadah telah berpotensi dikompromikan dan bertindak sebagai klien pada jaringan Tor. Temuan ini mungkin menunjukkan akses tidak sah ke AWS sumber daya Anda dengan maksud menyembunyikan identitas asli penyerang.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

Trojan:Runtime/BlackholeTraffic

Instans Amazon EC2 atau wadah mencoba berkomunikasi dengan alamat IP host jarak jauh yang merupakan lubang hitam yang dikenal.

Tingkat keparahan default: Sedang

• Fitur: Pemantauan Runtime

Temuan ini memberi tahu Anda instans EC2 yang terdaftar atau wadah di AWS lingkungan Anda mungkin terganggu karena mencoba berkomunikasi dengan alamat IP lubang hitam (atau lubang wastafel). Lubang hitam adalah tempat di jaringan di mana lalu lintas masuk atau keluar dibuang secara diam-diam tanpa memberi tahu sumber bahwa data tidak mencapai penerima yang dituju. Alamat IP lubang hitam menentukan mesin host yang tidak berjalan atau alamat yang tidak ada host yang ditugaskan.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

Trojan:Runtime/DropPoint

Instans Amazon EC2 atau wadah mencoba berkomunikasi dengan alamat IP host jarak jauh yang diketahui menyimpan kredensyal dan data curian lainnya yang ditangkap oleh malware.

Tingkat keparahan default: Sedang

• Fitur: Pemantauan Runtime

Temuan ini memberi tahu Anda bahwa instans EC2 atau wadah di AWS lingkungan Anda mencoba berkomunikasi dengan alamat IP host jarak jauh yang diketahui menyimpan kredensyal dan data curian lainnya yang ditangkap oleh malware.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

CryptoCurrency:Runtime/BitcoinTool.B!DNS

Instans Amazon EC2 atau wadah menanyakan nama domain yang terkait dengan aktivitas cryptocurrency.

Tingkat keparahan default: Tinggi

• Fitur: Pemantauan Runtime

Temuan ini memberi tahu Anda bahwa instans EC2 yang terdaftar atau wadah di AWS lingkungan Anda menanyakan nama domain yang terkait dengan Bitcoin atau aktivitas terkait cryptocurrency lainnya. Aktor ancaman mungkin berusaha untuk mengambil kendali atas sumber daya komputasi untuk menggunakannya kembali secara jahat untuk penambangan cryptocurrency yang tidak sah.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika Anda menggunakan instans atau wadah EC2 ini untuk menambang atau mengelola cryptocurrency, atau salah satu dari ini terlibat dalam aktivitas blockchain, CryptoCurrency:Runtime/BitcoinTool.B!DNS temuan ini bisa menjadi aktivitas yang diharapkan untuk lingkungan Anda. Jika ini terjadi di AWS lingkungan Anda, kami sarankan Anda membuat aturan penindasan untuk temuan ini. Aturan penekanan harus terdiri dari dua kriteria filter. Kriteria pertama harus menggunakan atibut Tipe temuan dengan nilai CryptoCurrency:Runtime/BitcoinTool.B!DNS. Kriteria filter kedua harus berupa ID Instance dari instance atau Container Image ID dari container yang terlibat dalam aktivitas cryptocurrency atau blockchain. Untuk informasi selengkapnya, lihat Aturan Penindasan.

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

Backdoor:Runtime/C&CActivity.B!DNS

Instans Amazon EC2 atau wadah menanyakan nama domain yang dikaitkan dengan server perintah dan kontrol yang diketahui.

Tingkat keparahan default: Tinggi

• Fitur: Pemantauan Runtime

Temuan ini memberi tahu Anda bahwa instans EC2 yang terdaftar atau wadah dalam AWS lingkungan Anda menanyakan nama domain yang terkait dengan server perintah dan kontrol (C&C) yang dikenal. Instans EC2 yang terdaftar atau wadah mungkin dikompromikan. Server perintah dan kontrol adalah komputer yang mengeluarkan perintah untuk anggota botnet.

Botnet adalah kumpulan perangkat yang terhubung ke internet yang mungkin termasuk PC, server, perangkat seluler, dan perangkat Internet of Things, yang terinfeksi dan dikendalikan oleh tipe malware yang umum. Botnet sering digunakan untuk mendistribusikan malware dan mengumpulkan informasi yang disalahgunakan, seperti nomor kartu kredit. Tergantung pada tujuan dan struktur botnet, server C&C mungkin juga mengeluarkan perintah untuk memulai serangan penolakan layanan terdistribusi (DDoS).

catatan

Jika nama domain yang ditanyakan terkait log4j, maka bidang temuan terkait akan mencakup nilai-nilai berikut:

• service.additionalInfo.threatListName = Amazon

• service.additionalInfo.threatName = Log4j Related

catatan

Untuk menguji bagaimana GuardDuty menghasilkan jenis temuan ini, Anda dapat membuat permintaan DNS dari instance Anda (menggunakan dig untuk Linux atau nslookup untuk Windows) terhadap domain guarddutyc2activityb.com pengujian.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

Trojan:Runtime/BlackholeTraffic!DNS

Instans Amazon EC2 atau wadah menanyakan nama domain yang sedang dialihkan ke alamat IP lubang hitam.

Tingkat keparahan default: Sedang

• Fitur: Pemantauan Runtime

Temuan ini memberi tahu Anda instans EC2 yang terdaftar atau wadah di AWS lingkungan Anda mungkin terganggu karena menanyakan nama domain yang sedang dialihkan ke alamat IP lubang hitam. Lubang hitam adalah tempat di jaringan di mana lalu lintas masuk atau keluar dibuang secara diam-diam tanpa memberi tahu sumber bahwa data tidak mencapai penerima yang dituju.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

Trojan:Runtime/DropPoint!DNS

Instans Amazon EC2 atau wadah menanyakan nama domain host jarak jauh yang diketahui memiliki kredensyal dan data curian lainnya yang ditangkap oleh malware.

Tingkat keparahan default: Sedang

• Fitur: Pemantauan Runtime

Temuan ini memberi tahu Anda bahwa instans EC2 atau wadah di AWS lingkungan Anda menanyakan nama domain host jarak jauh yang diketahui memiliki kredensyal dan data curian lainnya yang ditangkap oleh malware.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

Trojan:Runtime/DGADomainRequest.C!DNS

Instans Amazon EC2 atau wadah menanyakan domain yang dibuat secara algoritmik. Domain semacam itu biasanya digunakan oleh malware dan bisa menjadi indikasi instans EC2 yang dikompromikan atau wadah.

Tingkat keparahan default: Tinggi

• Fitur: Pemantauan Runtime

Temuan ini memberi tahu Anda bahwa instans EC2 yang terdaftar atau wadah di AWS lingkungan Anda mencoba menanyakan domain algoritma pembuatan domain (DGA). Sumber daya Anda mungkin telah dikompromikan.

DGAs digunakan untuk secara berkala menghasilkan sejumlah besar nama domain yang dapat digunakan sebagai titik pertemuan dengan server perintah dan kontrol (C&C) mereka. Server perintah dan kontrol adalah komputer yang mengeluarkan perintah kepada anggota botnet, yang merupakan kumpulan perangkat yang terhubung ke internet yang terinfeksi dan dikendalikan oleh tipe malware yang umum. Banyaknya kemungkinan titik pertemuan menyulitkan untuk mematikan botnet secara efektif karena komputer yang terinfeksi berusaha menghubungi beberapa nama domain ini setiap hari untuk menerima pembaruan atau perintah.

catatan

Temuan ini didasarkan pada domain DGA yang diketahui dari umpan intelijen GuardDuty ancaman.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

Trojan:Runtime/DriveBySourceTraffic!DNS

Instans Amazon EC2 atau wadah menanyakan nama domain host jarak jauh yang merupakan sumber serangan unduhan Drive-By yang diketahui.

Tingkat keparahan default: Tinggi

• Fitur: Pemantauan Runtime

Temuan ini memberi tahu Anda bahwa instans EC2 yang terdaftar atau wadah di AWS lingkungan Anda mungkin terganggu karena menanyakan nama domain host jarak jauh yang merupakan sumber serangan unduhan drive-by yang diketahui. Ini adalah unduhan perangkat lunak komputer yang tidak diinginkan dari internet yang dapat memulai instalasi otomatis virus, spyware, atau malware.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

Trojan:Runtime/PhishingDomainRequest!DNS

Instans Amazon EC2 atau container menanyakan domain yang terlibat dalam serangan phishing.

Tingkat keparahan default: Tinggi

• Fitur: Pemantauan Runtime

Temuan ini memberi tahu Anda bahwa ada instans EC2 atau wadah di AWS lingkungan Anda yang mencoba menanyakan domain yang terlibat dalam serangan phishing. Domain phishing dibuat oleh seseorang yang menyamar sebagai institusi yang sah untuk membujuk individu agar memberikan data sensitif, seperti informasi pengenal pribadi, detail kartu kredit dan perbankan, serta kata sandi. Instans EC2 Anda atau wadah mungkin mencoba mengambil data sensitif yang disimpan di situs web phishing, atau mungkin mencoba menyiapkan situs web phishing. Instans EC2 Anda atau kontainer mungkin dikompromikan.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

Impact:Runtime/AbusedDomainRequest.Reputation

Instans Amazon EC2 atau wadah menanyakan nama domain dengan reputasi rendah yang dikaitkan dengan domain yang disalahgunakan yang diketahui.

Tingkat keparahan default: Sedang

• Fitur: Pemantauan Runtime

Temuan ini memberi tahu Anda bahwa instans EC2 yang terdaftar atau wadah dalam AWS lingkungan Anda menanyakan nama domain dengan reputasi rendah yang terkait dengan domain atau alamat IP yang disalahgunakan yang diketahui. Contoh domain yang disalahgunakan adalah nama domain tingkat atas (TLD) dan nama domain tingkat kedua (2LDs) yang menyediakan pendaftaran subdomain gratis serta penyedia DNS dinamis. Aktor ancaman cenderung menggunakan layanan ini untuk mendaftarkan domain secara gratis atau dengan biaya rendah. Domain bereputasi rendah dalam kategori ini mungkin juga merupakan domain kedaluwarsa yang mencari alamat IP parkir registrar dan oleh karena itu mungkin tidak lagi aktif. IP parkir adalah tempat registrar mengarahkan lalu lintas untuk domain yang belum ditautkan ke layanan apa pun. Instans Amazon EC2 yang terdaftar atau wadah dapat dikompromikan karena pelaku ancaman biasanya menggunakan registrar atau layanan ini untuk distribusi C&C dan malware.

Domain reputasi rendah didasarkan pada model skor reputasi. Model ini mengevaluasi dan memberi peringkat karakteristik domain untuk menentukan kemungkinannya berbahaya.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

Impact:Runtime/BitcoinDomainRequest.Reputation

Instans Amazon EC2 atau container menanyakan nama domain dengan reputasi rendah yang terkait dengan aktivitas terkait cryptocurrency.

Tingkat keparahan default: Tinggi

• Fitur: Pemantauan Runtime

Temuan ini memberi tahu Anda bahwa instans EC2 yang terdaftar atau wadah dalam AWS lingkungan Anda menanyakan nama domain dengan reputasi rendah yang terkait dengan Bitcoin atau aktivitas terkait cryptocurrency lainnya. Aktor ancaman mungkin berusaha untuk mengambil kendali atas sumber daya komputasi untuk menggunakannya kembali secara jahat untuk penambangan cryptocurrency yang tidak sah.

Domain reputasi rendah didasarkan pada model skor reputasi. Model ini mengevaluasi dan memberi peringkat karakteristik domain untuk menentukan kemungkinannya berbahaya.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika Anda menggunakan instans EC2 ini atau wadah untuk menambang atau mengelola cryptocurrency, atau jika sumber daya ini terlibat dalam aktivitas blockchain, temuan ini dapat mewakili aktivitas yang diharapkan untuk lingkungan Anda. Jika ini terjadi di AWS lingkungan Anda, kami sarankan Anda membuat aturan penindasan untuk temuan ini. Aturan penekanan harus terdiri dari dua kriteria filter. Kriteria filter pertama harus menggunakan atribut Finding type dengan nilai. Impact:Runtime/BitcoinDomainRequest.Reputation Kriteria filter kedua harus berupa ID Instance dari instance atau ID Gambar Kontainer dari container terlibat dalam aktivitas terkait cryptocurrency atau blockchain. Untuk informasi selengkapnya, lihat Aturan penindasan.

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

Impact:Runtime/MaliciousDomainRequest.Reputation

Instans Amazon EC2 atau container menanyakan domain dengan reputasi rendah yang dikaitkan dengan domain berbahaya yang diketahui.

Tingkat keparahan default: Tinggi

• Fitur: Pemantauan Runtime

Temuan ini memberi tahu Anda bahwa instans EC2 yang terdaftar atau wadah dalam AWS lingkungan Anda menanyakan nama domain dengan reputasi rendah yang terkait dengan domain berbahaya atau alamat IP yang diketahui. Misalnya, domain dapat dikaitkan dengan alamat IP sinkhole yang dikenal. Domain sinkhole adalah domain yang sebelumnya dikendalikan oleh aktor ancaman, dan permintaan yang dibuat untuk domain tersebut dapat menunjukkan bahwa instans disusupi. Domain ini juga dapat dikorelasikan dengan kampanye berbahaya atau algoritme pembuatan domain yang dikenal.

Domain reputasi rendah didasarkan pada model skor reputasi. Model ini mengevaluasi dan memberi peringkat karakteristik domain untuk menentukan kemungkinannya berbahaya.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

Impact:Runtime/SuspiciousDomainRequest.Reputation

Instans Amazon EC2 atau wadah menanyakan nama domain dengan reputasi rendah yang mencurigakan karena usianya, atau popularitasnya yang rendah.

Tingkat keparahan default: Rendah

• Fitur: Pemantauan Runtime

Temuan ini memberi tahu Anda bahwa instans EC2 yang terdaftar atau wadah dalam AWS lingkungan Anda menanyakan nama domain dengan reputasi rendah yang diduga jahat. memperhatikan karakteristik domain ini yang konsisten dengan domain berbahaya yang diamati sebelumnya, namun, model reputasi kami tidak dapat secara definitif menghubungkannya dengan ancaman yang diketahui. Domain ini biasanya baru diamati atau menerima jumlah lalu lintas yang rendah.

Domain reputasi rendah didasarkan pada model skor reputasi. Model ini mengevaluasi dan memberi peringkat karakteristik domain untuk menentukan kemungkinannya berbahaya.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

UnauthorizedAccess:Runtime/MetadataDNSRebind

Instans Amazon EC2 atau container melakukan pencarian DNS yang menyelesaikan layanan metadata instans.

Tingkat keparahan default: Tinggi

• Fitur: Pemantauan Runtime

catatan

Saat ini, tipe temuan ini hanya didukung untuk arsitektur AMD64.

Temuan ini memberi tahu Anda bahwa instans EC2 atau wadah di AWS lingkungan Anda menanyakan domain yang menyelesaikan alamat IP metadata EC2 (169.254.169.254). Kueri DNS semacam ini dapat menunjukkan bahwa instans adalah target dari teknik rebinding DNS. Teknik ini dapat digunakan untuk mendapatkan metadata dari instans EC2, termasuk kredensial IAM yang terkait dengan instans.

DNS rebinding melibatkan menipu aplikasi yang berjalan pada instans EC2 untuk memuat data kembali dari URL, di mana nama domain di URL menyelesaikan ke alamat IP metadata EC2 (). 169.254.169.254 Hal ini menyebabkan aplikasi mengakses metadata EC2 dan mungkin membuatnya tersedia untuk penyerang.

Dimungkinkan untuk mengakses metadata EC2 menggunakan rebinding DNS hanya jika instans EC2 menjalankan aplikasi rentan yang memungkinkan injeksi URL, atau jika seseorang mengakses URL di browser web yang berjalan pada instans EC2.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Rekomendasi remediasi:

Menanggapi temuan ini, Anda harus mengevaluasi apakah ada aplikasi rentan yang berjalan pada instans EC2 atau pada wadah, atau jika seseorang menggunakan browser untuk mengakses domain yang diidentifikasi dalam temuan. Jika akar penyebabnya adalah aplikasi yang rentan, perbaiki kerentanan. Jika seseorang menelusuri domain yang diidentifikasi, blokir domain atau cegah pengguna mengaksesnya. Jika Anda menentukan temuan ini terkait dengan kedua kasus di atas, Cabut sesi yang terkait dengan instans EC2.

Beberapa AWS pelanggan sengaja memetakan alamat IP metadata ke nama domain di server DNS otoritatif mereka. Jika hal ini dilakukan di lingkungan Anda, kami menyarankan Anda untuk membuat aturan penekanan untuk temuan ini. Aturan penekanan harus terdiri dari dua kriteria filter. Kriteria filter pertama harus menggunakan atribut Finding type dengan nilai. UnauthorizedAccess:Runtime/MetaDataDNSRebind Kriteria filter kedua harus domain permintaan DNS atau ID Gambar Kontainer wadah. Nilai domain permintaan DNS harus sesuai dengan domain yang telah Anda petakan ke alamat IP metadata (). 169.254.169.254 Untuk informasi tentang membuat aturan penindasan, lihat Aturan penindasan.

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

Execution:Runtime/NewBinaryExecuted

File biner yang baru dibuat atau baru dimodifikasi dalam wadah telah dieksekusi.

Tingkat keparahan default: Sedang

• Fitur: Pemantauan Runtime

Temuan ini memberi tahu Anda bahwa file biner yang baru dibuat atau yang baru saja dimodifikasi dalam wadah telah dieksekusi. Ini adalah praktik terbaik untuk menjaga kontainer tetap tidak berubah saat runtime, dan file biner, skrip, atau pustaka tidak boleh dibuat atau dimodifikasi selama masa pakai penampung. Perilaku ini menunjukkan bahwa aktor jahat yang telah memperoleh akses ke wadah, telah mengunduh, dan mengeksekusi malware atau perangkat lunak lain sebagai bagian dari potensi kompromi. Meskipun jenis aktivitas ini bisa menjadi indikasi kompromi, ini juga merupakan pola penggunaan yang umum. Oleh karena itu, GuardDuty gunakan mekanisme untuk mengidentifikasi contoh mencurigakan dari aktivitas ini dan menghasilkan jenis temuan ini hanya untuk contoh yang mencurigakan.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

PrivilegeEscalation:Runtime/DockerSocketAccessed

Sebuah proses di dalam wadah berkomunikasi dengan daemon Docker menggunakan soket Docker.

Tingkat keparahan default: Sedang

• Fitur: Pemantauan Runtime

Soket Docker adalah Unix Domain Socket yang digunakan Docker daemon (dockerd) untuk berkomunikasi dengan kliennya. Klien dapat melakukan berbagai tindakan, seperti membuat kontainer dengan berkomunikasi dengan daemon Docker melalui soket Docker. Sangat mencurigakan jika proses penampung mengakses soket Docker. Proses kontainer dapat keluar dari wadah dan mendapatkan akses tingkat host dengan berkomunikasi dengan soket Docket dan membuat wadah istimewa.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

PrivilegeEscalation:Runtime/RuncContainerEscape

Upaya pelarian kontainer melalui runC terdeteksi.

Tingkat keparahan default: Tinggi

• Fitur: Pemantauan Runtime

runC adalah runtime kontainer tingkat rendah yang digunakan runtime kontainer tingkat tinggi, seperti Docker dan Containerd untuk menelurkan dan menjalankan container. RunC selalu dijalankan dengan hak akses root karena perlu melakukan tugas tingkat rendah untuk membuat wadah. Aktor ancaman dapat memperoleh akses tingkat host dengan memodifikasi atau mengeksploitasi kerentanan dalam biner RuNC.

Temuan ini mendeteksi modifikasi biner runC dan upaya potensial untuk mengeksploitasi kerentanan RuNC berikut:

• CVE-2019-5736— Eksploitasi CVE-2019-5736 melibatkan penimpaan biner runC dari dalam wadah. Temuan ini dipanggil ketika biner runC dimodifikasi oleh proses di dalam wadah.

• CVE-2024-21626Eksploitasi CVE-2024-21626 melibatkan pengaturan direktori kerja saat ini (CWD) atau wadah ke deskriptor file terbuka. /proc/self/fd/FileDescriptor Temuan ini dipanggil ketika proses kontainer dengan direktori kerja saat ini di bawah /proc/self/fd/ terdeteksi, misalnya,/proc/self/fd/7.

Temuan ini mungkin menunjukkan bahwa aktor jahat telah berusaha melakukan eksploitasi di salah satu jenis wadah berikut:

• Wadah baru dengan gambar yang dikendalikan penyerang.

• Wadah yang ada yang dapat diakses oleh aktor dengan izin menulis pada biner runC tingkat host.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

PrivilegeEscalation:Runtime/CGroupsReleaseAgentModified

Upaya pelarian kontainer melalui agen rilis CGroups terdeteksi.

Tingkat keparahan default: Tinggi

• Fitur: Pemantauan Runtime

Temuan ini memberi tahu Anda bahwa upaya untuk memodifikasi file agen rilis grup kontrol (cgroup) telah terdeteksi. Linux menggunakan kelompok kontrol (cgroups) untuk membatasi, memperhitungkan, dan mengisolasi penggunaan sumber daya dari kumpulan proses. Setiap cgroup memiliki file agen rilis (release_agent), skrip yang dijalankan Linux ketika proses apa pun di dalam cgroup berakhir. File agen rilis selalu dijalankan di tingkat host. Aktor ancaman di dalam wadah dapat melarikan diri ke host dengan menulis perintah arbitrer ke file agen rilis milik cgroup. Ketika proses di dalam cgroup itu berakhir, perintah yang ditulis oleh aktor dieksekusi.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

DefenseEvasion:Runtime/ProcessInjection.Proc

Injeksi proses menggunakan sistem file proc terdeteksi dalam wadah atau instans Amazon EC2.

Tingkat keparahan default: Tinggi

• Fitur: Pemantauan Runtime

Injeksi proses adalah teknik yang digunakan aktor ancaman untuk menyuntikkan kode ke dalam proses untuk menghindari pertahanan dan berpotensi meningkatkan hak istimewa. Proc filesystem (procfs) adalah filesystem khusus di Linux yang menyajikan memori virtual proses sebagai file. Jalur file itu adalah/proc/PID/mem, di mana PID ID unik dari proses tersebut. Seorang aktor ancaman dapat menulis ke file ini untuk menyuntikkan kode ke dalam proses. Temuan ini mengidentifikasi upaya potensial untuk menulis ke file ini.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, jenis sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

DefenseEvasion:Runtime/ProcessInjection.Ptrace

Injeksi proses menggunakan panggilan sistem ptrace terdeteksi dalam wadah atau instans Amazon EC2.

Tingkat keparahan default: Sedang

• Fitur: Pemantauan Runtime

Injeksi proses adalah teknik yang digunakan aktor ancaman untuk menyuntikkan kode ke dalam proses untuk menghindari pertahanan dan berpotensi meningkatkan hak istimewa. Suatu proses dapat menggunakan panggilan sistem ptrace untuk menyuntikkan kode ke proses lain. Temuan ini mengidentifikasi upaya potensial untuk menyuntikkan kode ke dalam proses menggunakan panggilan sistem ptrace.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, jenis sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

DefenseEvasion:Runtime/ProcessInjection.VirtualMemoryWrite

Injeksi proses melalui penulisan langsung ke memori virtual terdeteksi dalam wadah atau instans Amazon EC2.

Tingkat keparahan default: Tinggi

• Fitur: Pemantauan Runtime

Injeksi proses adalah teknik yang digunakan aktor ancaman untuk menyuntikkan kode ke dalam proses untuk menghindari pertahanan dan berpotensi meningkatkan hak istimewa. Suatu proses dapat menggunakan panggilan sistem seperti process_vm_writev untuk langsung menyuntikkan kode ke memori virtual proses lain. Temuan ini mengidentifikasi upaya potensial untuk menyuntikkan kode ke dalam proses menggunakan panggilan sistem untuk menulis ke memori virtual proses.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, jenis sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

Execution:Runtime/ReverseShell

Proses dalam wadah atau instans Amazon EC2 telah membuat shell terbalik.

Tingkat keparahan default: Tinggi

• Fitur: Pemantauan Runtime

Shell terbalik adalah sesi shell yang dibuat pada koneksi yang dimulai dari host target ke host aktor. Ini berlawanan dengan cangkang normal yang dimulai dari host aktor ke host target. Aktor ancaman membuat shell terbalik untuk menjalankan perintah pada target setelah mendapatkan akses awal ke target. Temuan ini mengidentifikasi upaya potensial untuk membuat shell terbalik.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, jenis sumber daya Anda mungkin telah disusupi.

DefenseEvasion:Runtime/FilelessExecution

Proses dalam wadah atau instans Amazon EC2 mengeksekusi kode dari memori.

Tingkat keparahan default: Sedang

• Fitur: Pemantauan Runtime

Temuan ini memberi tahu Anda ketika suatu proses dijalankan menggunakan file yang dapat dieksekusi dalam memori pada disk. Ini adalah teknik penghindaran pertahanan umum yang menghindari penulisan executable berbahaya ke disk untuk menghindari deteksi berbasis pemindaian sistem file. Meskipun teknik ini digunakan oleh malware, ia juga memiliki beberapa kasus penggunaan yang sah. Salah satu contohnya adalah compiler just-in-time (JIT) yang menulis kode dikompilasi ke memori dan mengeksekusinya dari memori.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

Impact:Runtime/CryptoMinerExecuted

Sebuah wadah atau instans Amazon EC2 mengeksekusi file biner yang terkait dengan aktivitas penambangan cryptocurrency.

Tingkat keparahan default: Tinggi

• Fitur: Pemantauan Runtime

Temuan ini memberi tahu Anda bahwa wadah atau instans EC2 di AWS lingkungan Anda mengeksekusi file biner yang terkait dengan aktivitas penambangan cryptocurrency. Aktor ancaman mungkin berusaha untuk mengambil kendali atas sumber daya komputasi untuk menggunakannya kembali secara jahat untuk penambangan cryptocurrency yang tidak sah.

Agen runtime memantau peristiwa dari beberapa jenis sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya di panel temuan di GuardDuty konsol.

Rekomendasi remediasi:

Agen runtime memantau peristiwa dari berbagai sumber daya. Untuk mengidentifikasi sumber daya yang terpengaruh, lihat Jenis sumber daya dalam detail temuan di GuardDuty konsol dan lihatRemediasi temuan Runtime Monitoring.

Execution:Runtime/NewLibraryLoaded

Pustaka yang baru dibuat atau yang baru dimodifikasi dimuat oleh proses di dalam wadah.

Tingkat keparahan default: Sedang

• Fitur: Pemantauan Runtime

Temuan ini memberi tahu Anda bahwa pustaka dibuat atau dimodifikasi di dalam wadah selama runtime dan dimuat oleh proses yang berjalan di dalam wadah. Praktik terbaik adalah menjaga kontainer tetap tidak berubah saat runtime, dan tidak membuat atau memodifikasi file biner, skrip, atau pustaka selama masa pakai penampung. Memuat pustaka yang baru dibuat atau dimodifikasi dalam wadah dapat menunjukkan aktivitas yang mencurigakan. Perilaku ini menunjukkan bahwa aktor jahat berpotensi memperoleh akses ke wadah, telah mengunduh, dan mengeksekusi malware atau perangkat lunak lain sebagai bagian dari potensi kompromi. Meskipun jenis aktivitas ini bisa menjadi indikasi kompromi, ini juga merupakan pola penggunaan yang umum. Oleh karena itu, GuardDuty gunakan mekanisme untuk mengidentifikasi contoh mencurigakan dari aktivitas ini dan menghasilkan jenis temuan ini hanya untuk contoh yang mencurigakan.

Agen runtime memantau peristiwa dari berbagai sumber daya. Untuk mengidentifikasi sumber daya yang terpengaruh, lihat Jenis sumber daya dalam detail temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

PrivilegeEscalation:Runtime/ContainerMountsHostDirectory

Sebuah proses di dalam wadah memasang sistem file host saat runtime.

Tingkat keparahan default: Sedang

• Fitur: Pemantauan Runtime

Beberapa teknik pelarian kontainer melibatkan pemasangan sistem file host di dalam wadah saat runtime. Temuan ini memberi tahu Anda bahwa proses di dalam wadah berpotensi mencoba memasang sistem file host, yang mungkin menunjukkan upaya untuk melarikan diri ke host.

Agen runtime memantau peristiwa dari berbagai sumber daya. Untuk mengidentifikasi sumber daya yang terpengaruh, lihat Jenis sumber daya dalam detail temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

PrivilegeEscalation:Runtime/UserfaultfdUsage

Sebuah proses yang digunakan userfaultfd sistem panggilan untuk menangani kesalahan halaman dalam ruang pengguna.

Tingkat keparahan default: Sedang

• Fitur: Pemantauan Runtime

Biasanya, kesalahan halaman ditangani oleh kernel di ruang kernel. Namun, panggilan userfaultfd sistem memungkinkan proses untuk menangani kesalahan halaman pada sistem file di ruang pengguna. Ini adalah fitur berguna yang memungkinkan implementasi sistem file ruang pengguna. Di sisi lain, ini juga dapat digunakan oleh proses yang berpotensi berbahaya untuk mengganggu kernel dari ruang pengguna. Menginterupsi kernel dengan menggunakan panggilan userfaultfd sistem adalah teknik eksploitasi umum untuk memperluas jendela balapan selama eksploitasi kondisi ras kernel. Penggunaan userfaultfd dapat menunjukkan aktivitas mencurigakan di instans Amazon Elastic Compute Cloud (Amazon EC2).

Agen runtime memantau peristiwa dari berbagai sumber daya. Untuk mengidentifikasi sumber daya yang terpengaruh, lihat Jenis sumber daya dalam detail temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

Execution:Runtime/SuspiciousTool

Container atau instans Amazon EC2 menjalankan file biner atau skrip yang sering digunakan dalam skenario keamanan ofensif seperti keterlibatan pentesting.

Tingkat keparahan default: Variabel

Tingkat keparahan temuan ini bisa tinggi atau rendah, tergantung pada apakah alat mencurigakan yang terdeteksi dianggap penggunaan ganda atau hanya untuk penggunaan ofensif.

• Fitur: Pemantauan Runtime

Temuan ini memberi tahu Anda bahwa alat yang mencurigakan telah dieksekusi pada instans atau wadah EC2 di lingkungan Anda. AWS Ini termasuk alat yang digunakan dalam keterlibatan pentesting, juga dikenal sebagai alat backdoor, pemindai jaringan, dan sniffer jaringan. Semua alat ini dapat digunakan dalam konteks jinak tetapi juga sering digunakan oleh pelaku ancaman dengan niat jahat. Mengamati alat keamanan ofensif dapat menunjukkan bahwa instans atau wadah EC2 terkait telah dikompromikan.

GuardDuty memeriksa aktivitas dan konteks runtime terkait sehingga menghasilkan temuan ini hanya ketika aktivitas dan konteks terkait berpotensi mencurigakan.

Agen runtime memantau peristiwa dari berbagai sumber daya. Untuk mengidentifikasi sumber daya yang terpengaruh, lihat Jenis sumber daya dalam detail temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

Execution:Runtime/SuspiciousCommand

Perintah mencurigakan telah dijalankan pada instans Amazon EC2 atau wadah yang menunjukkan kompromi.

Tingkat keparahan default: Variabel

Bergantung pada dampak dari pola berbahaya yang diamati, tingkat keparahan jenis temuan ini bisa rendah, sedang, atau tinggi.

• Fitur: Pemantauan Runtime

Temuan ini memberi tahu Anda bahwa perintah mencurigakan telah dijalankan dan ini menunjukkan bahwa instans Amazon EC2 atau wadah di lingkungan AWS Anda telah disusupi. Ini mungkin berarti bahwa file diunduh dari sumber yang mencurigakan dan kemudian dieksekusi, atau proses yang berjalan menampilkan pola berbahaya yang diketahui di baris perintahnya. Ini lebih lanjut menunjukkan bahwa malware berjalan di sistem.

GuardDuty memeriksa aktivitas dan konteks runtime terkait sehingga menghasilkan temuan ini hanya ketika aktivitas dan konteks terkait berpotensi mencurigakan.

Agen runtime memantau peristiwa dari berbagai sumber daya. Untuk mengidentifikasi sumber daya yang terpengaruh, lihat Jenis sumber daya dalam detail temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

DefenseEvasion:Runtime/SuspiciousCommand

Perintah telah dijalankan pada instans Amazon EC2 yang terdaftar atau wadah, ia mencoba untuk memodifikasi atau menonaktifkan mekanisme pertahanan Linux, seperti firewall atau layanan sistem penting.

Tingkat keparahan default: Variabel

Bergantung pada mekanisme pertahanan mana yang telah dimodifikasi atau dinonaktifkan, tingkat keparahan jenis temuan ini bisa tinggi, sedang, atau rendah.

• Fitur: Pemantauan Runtime

Temuan ini memberi tahu Anda bahwa perintah yang mencoba menyembunyikan serangan dari layanan keamanan sistem lokal, telah dieksekusi. Ini termasuk tindakan seperti menonaktifkan firewall Unix, memodifikasi tabel IP lokal, menghapus crontab entri, menonaktifkan layanan lokal, atau mengambil alih fungsi. LDPreload Modifikasi apa pun sangat mencurigakan dan merupakan indikator kompromi yang potensial. Oleh karena itu, mekanisme ini mendeteksi atau mencegah kompromi lebih lanjut dari sistem.

GuardDuty memeriksa aktivitas dan konteks runtime terkait sehingga menghasilkan temuan ini hanya ketika aktivitas dan konteks terkait berpotensi mencurigakan.

Agen runtime memantau peristiwa dari berbagai sumber daya. Untuk mengidentifikasi sumber daya yang berpotensi dikompromikan, lihat Jenis sumber daya dalam detail temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

DefenseEvasion:Runtime/PtraceAntiDebugging

Proses dalam wadah atau instans Amazon EC2 telah menjalankan tindakan anti-debugging menggunakan panggilan sistem ptrace.

Tingkat keparahan default: Rendah

• Fitur: Pemantauan Runtime

Temuan ini menunjukkan bahwa proses yang berjalan pada instans Amazon EC2 atau wadah dalam AWS lingkungan Anda telah menggunakan panggilan sistem ptrace dengan opsi tersebut. PTRACE_TRACEME Aktivitas ini akan menyebabkan debugger terlampir terlepas dari proses yang sedang berjalan. Jika tidak ada debugger yang terpasang, itu tidak berpengaruh. Namun, aktivitas itu sendiri menimbulkan kecurigaan. Ini mungkin menunjukkan bahwa malware berjalan di sistem. Malware sering menggunakan teknik anti-debugging untuk menghindari analisis, dan teknik ini dapat dideteksi saat runtime.

GuardDuty memeriksa aktivitas dan konteks runtime terkait sehingga menghasilkan temuan ini hanya ketika aktivitas dan konteks terkait berpotensi mencurigakan.

Agen runtime memantau peristiwa dari berbagai sumber daya. Untuk mengidentifikasi sumber daya yang terpengaruh, lihat Jenis sumber daya dalam detail temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.

Execution:Runtime/MaliciousFileExecuted

File executable berbahaya yang diketahui telah dieksekusi pada instans Amazon EC2 atau wadah.

Tingkat keparahan default: Tinggi

• Fitur: Pemantauan Runtime

Temuan ini memberi tahu Anda bahwa executable berbahaya yang diketahui telah dieksekusi di instans Amazon EC2 atau wadah dalam lingkungan Anda. AWS Ini adalah indikator kuat bahwa instance atau wadah berpotensi dikompromikan dan malware telah dieksekusi.

Malware sering menggunakan teknik anti-debugging untuk menghindari analisis, dan teknik ini dapat dideteksi saat runtime.

GuardDuty memeriksa aktivitas dan konteks runtime terkait sehingga menghasilkan temuan ini hanya ketika aktivitas dan konteks terkait berpotensi mencurigakan.

Agen runtime memantau peristiwa dari berbagai sumber daya. Untuk mengidentifikasi sumber daya yang terpengaruh, lihat Jenis sumber daya dalam detail temuan di GuardDuty konsol.

Rekomendasi remediasi:

Jika aktivitas ini tidak terduga, sumber daya Anda mungkin telah disusupi. Untuk informasi selengkapnya, lihat Remediasi temuan Runtime Monitoring.