Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris. # GuardDuty Deteksi Ancaman yang Diperpanjang GuardDuty Deteksi Ancaman yang Diperluas secara otomatis mendeteksi serangan multi-tahap yang mencakup sumber data, berbagai jenis AWS sumber daya, dan waktu, dalam. Akun AWS Dengan kemampuan ini, GuardDuty fokus pada urutan beberapa peristiwa yang diamati dengan memantau berbagai jenis sumber data. Deteksi Ancaman yang Diperluas menghubungkan peristiwa ini untuk mengidentifikasi skenario yang menampilkan dirinya sebagai ancaman potensial terhadap AWS lingkungan Anda, dan kemudian menghasilkan temuan urutan serangan. **Topics** + [Contoh skenario ancaman urutan serangan](#extended-threat-detection-scenario-examples) + [Cara kerjanya](#extended-threat-detection-how-it-works) + [Mengaktifkan rencana perlindungan untuk memaksimalkan deteksi ancaman](#extended-threat-detection-related-gdu-protection-plans) + [Deteksi Ancaman Diperpanjang di GuardDuty konsol](#extended-threat-detection-in-guardduty-console) + [Memahami dan mengelola temuan urutan serangan](#extended-threat-detection-understanding-attack-sequence-findings) + [Sumber daya tambahan](#guardduty-extended-threat-detection-additional-resources) ## Contoh skenario ancaman urutan serangan Deteksi Ancaman yang Diperluas mencakup skenario ancaman yang melibatkan kompromi terkait penyalahgunaan AWS kredenSIAL, upaya kompromi data di bucket Amazon S3, dan kompromi sumber daya wadah dan Kubernetes di cluster Amazon EKS. Satu temuan dapat mencakup seluruh urutan serangan. Misalnya, daftar berikut menjelaskan skenario yang GuardDuty mungkin mendeteksi: **Contoh 1 - AWS kredenSIAL dan kompromi data bucket Amazon S3 ** + Aktor ancaman yang mendapatkan akses tidak sah ke beban kerja komputasi. + Aktor kemudian melakukan serangkaian tindakan seperti eskalasi hak istimewa dan membangun ketekunan. + Akhirnya, aktor mengeksfiltrasi data dari sumber daya Amazon S3. **Contoh 2 - Kompromi cluster Amazon EKS ** + Aktor ancaman mencoba mengeksploitasi aplikasi kontainer dalam cluster Amazon EKS. + Aktor menggunakan wadah yang dikompromikan itu untuk mendapatkan token akun layanan istimewa. + Aktor kemudian memanfaatkan hak istimewa yang ditingkatkan ini untuk mengakses rahasia atau AWS sumber daya Kubernetes yang sensitif melalui identitas pod. Karena sifat skenario ancaman terkait, GuardDuty anggap semua [Jenis pencarian urutan serangan](guardduty-attack-sequence-finding-types.md) sebagai K ** ritis**. Video berikut memberikan demonstrasi bagaimana Anda dapat menggunakan Deteksi Ancaman yang Diperpanjang. [![AWS Videos](https://img.youtube.com/vi/xLqGwoSaoPw/0.jpg)](https://www.youtube.com/watch?v=xLqGwoSaoPw) ## Cara kerjanya Saat Anda mengaktifkan Amazon GuardDuty di akun Anda di akun tertentu Wilayah AWS, Deteksi Ancaman yang Diperpanjang juga diaktifkan secara default. Tidak ada biaya tambahan yang terkait dengan penggunaan Deteksi Ancaman yang Diperpanjang. Secara default, ini menghubungkan peristiwa di semua[Sumber data dasar](guardduty_data-sources.md). Namun, bila Anda mengaktifkan lebih banyak paket GuardDuty perlindungan, seperti S3 Protection, EKS Protection, dan Runtime Monitoring, ini akan membuka jenis deteksi urutan serangan tambahan dengan memperluas jangkauan sumber peristiwa. Ini berpotensi membantu dengan analisis ancaman yang lebih komprehensif dan deteksi urutan serangan yang lebih baik. Untuk informasi selengkapnya, lihat [Mengaktifkan rencana perlindungan untuk memaksimalkan deteksi ancaman](#extended-threat-detection-related-gdu-protection-plans). GuardDuty menghubungkan beberapa peristiwa, termasuk aktivitas dan GuardDuty temuan API. Peristiwa ini disebut Sin ** yal**. Terkadang, mungkin ada peristiwa di lingkungan Anda yang, dengan sendirinya, tidak menampilkan diri sebagai ancaman potensial yang jelas. GuardDuty menyebutnya sebagai * sinyal * lemah. Dengan Deteksi Ancaman yang Diperpanjang, GuardDuty mengidentifikasi kapan urutan beberapa tindakan selaras dengan aktivitas yang berpotensi mencurigakan, dan menghasilkan penemuan urutan serangan di akun Anda. Beberapa tindakan ini dapat mencakup sinyal lemah dan GuardDuty temuan yang sudah teridentifikasi di akun Anda. **catatan** Saat menghubungkan peristiwa untuk urutan serangan, Deteksi Ancaman yang Diperluas tidak mempertimbangkan temuan yang diarsipkan, termasuk temuan yang diarsipkan secara otomatis karena. [Aturan penekanan](findings_suppression-rule.md) Perilaku ini memastikan bahwa hanya sinyal aktif dan relevan yang berkontribusi pada deteksi urutan serangan. Untuk memastikan bahwa Anda tidak terpengaruh oleh hal ini, tinjau aturan penekanan yang ada di akun Anda. Untuk informasi selengkapnya, lihat [Menggunakan aturan penindasan dengan Deteksi Ancaman yang Diperluas](findings_suppression-rule.md#using-suppression-rules-with-extended-threat-detection). GuardDuty juga dirancang untuk mengidentifikasi potensi perilaku serangan yang sedang berlangsung atau baru-baru ini (dalam jendela waktu bergulir 24 jam) di akun Anda. Misalnya, serangan dapat dimulai oleh aktor yang mendapatkan akses yang tidak diinginkan ke beban kerja komputasi. Aktor kemudian akan melakukan serangkaian langkah, termasuk enumerasi, eskalasi hak istimewa, dan eksfiltrasi AWS kredenSIAL. KredenSIAL ini berpotensi digunakan untuk kompromi lebih lanjut atau akses berbahaya ke data. ## Mengaktifkan rencana perlindungan untuk memaksimalkan deteksi ancaman Deteksi Ancaman yang Diperpanjang diaktifkan secara otomatis untuk semua GuardDuty akun, mengevaluasi secara default sinyal dari semua paket perlindungan yang diaktifkan di akun. GuardDuty [Sumber data dasar ](guardduty_data-sources.md) memberikan sinyal penting untuk beberapa deteksi urutan serangan. Misalnya, dengan deteksi ancaman dasar, GuardDuty dapat mengidentifikasi urutan serangan potensial mulai dari aktivitas penemuan hak istimewa IAM di Amazon S3 API, dan mendeteksi perubahan bidang kontrol S3 berikutnya, seperti perubahan yang membuat kebijakan sumber daya bucket lebih permisif. Namun, urutan serangan lainnya memerlukan sinyal lanjutan yang hanya tersedia dari rencana perlindungan lanjutan seperti pemantauan Runtime, perlindungan S3, dan Pemantauan Log Audit EKS. **Topics** + [Mendeteksi urutan serangan di cluster Amazon EKS](#extended-threat-detection-eks-clusters) + [Mendeteksi urutan serangan di bucket Amazon S3](#extended-threat-detection-s3-buckets) + [Mendeteksi urutan serangan di cluster Amazon ECS](#extended-threat-detection-ecs-clusters) + [Mendeteksi urutan serangan di grup instans Amazon EC2](#extended-threat-detection-ec2-instances) + [Mendeteksi urutan serangan yang melibatkan beban kerja AI](#extended-threat-detection-ai-workloads) ### Mendeteksi urutan serangan di cluster Amazon EKS GuardDuty mengkorelasikan beberapa sinyal keamanan di seluruh log audit EKS, perilaku proses runtime, dan aktivitas AWS API untuk mendeteksi pola serangan yang canggih. Untuk mendapatkan manfaat dari Deteksi Ancaman yang Diperpanjang untuk EKS, Anda harus mengaktifkan setidaknya satu dari fitur ini - EKS Protection atau Runtime Monitoring (dengan add-on EKS). EKS Protection memantau aktivitas pesawat kontrol melalui log audit, sementara Runtime Monitoring mengamati perilaku di dalam wadah. Untuk cakupan maksimum dan deteksi ancaman yang komprehensif, GuardDuty disarankan untuk mengaktifkan kedua rencana perlindungan. Bersama-sama, mereka membuat tampilan lengkap cluster EKS Anda, memungkinkan GuardDuty untuk mendeteksi pola serangan yang kompleks. Misalnya, ia dapat mengidentifikasi penyebaran anomali dari wadah istimewa (terdeteksi dengan Perlindungan EKS), diikuti oleh upaya persistensi, penambangan kripto, dan pembuatan shell terbalik dalam wadah itu (terdeteksi dengan Pemantauan Runtime). GuardDuty mewakili peristiwa terkait ini sebagai satu temuan tingkat keparahan kritis, yang disebut. [AttackSequence:EKS/CompromisedCluster](guardduty-attack-sequence-finding-types.md#attack-sequence-eks-compromised-cluster) Saat Anda mengaktifkan kedua rencana perlindungan, pencarian urutan serangan mencakup skenario ancaman berikut: + Kompromi kontainer yang menjalankan aplikasi web yang rentan + Akses tidak sah melalui kredensional yang salah konfigurasi + Upaya untuk meningkatkan hak istimewa + Permintaan API yang mencurigakan + Upaya untuk mengakses data dengan jahat Daftar berikut memberikan rincian saat paket perlindungan khusus ini diaktifkan secara individual: **Perlindungan EKS** Mengaktifkan Perlindungan EKS GuardDuty memberikan kemampuan untuk mendeteksi urutan serangan yang melibatkan aktivitas pesawat kontrol cluster Amazon EKS. Hal ini memungkinkan GuardDuty untuk menghubungkan log audit EKS dan aktivitas AWS API. Misalnya, GuardDuty dapat mendeteksi urutan serangan di mana aktor mencoba akses tidak sah ke rahasia cluster, memodifikasi izin kontrol akses berbasis peran (RBAC) Kubernetes, dan membuat pod istimewa. Untuk informasi selengkapnya tentang mengaktifkan paket perlindungan ini, lihat[Perlindungan EKS](kubernetes-protection.md). **Pemantauan Runtime untuk Amazon EKS ** Mengaktifkan Runtime Monitoring untuk cluster Amazon EKS GuardDuty memberikan kemampuan untuk meningkatkan deteksi urutan serangan EKS dengan visibilitas tingkat kontainer. Ini membantu GuardDuty mendeteksi potensi proses berbahaya, perilaku runtime yang mencurigakan, dan eksekusi malware potensial. Misalnya, GuardDuty dapat mendeteksi urutan serangan di mana wadah mulai menunjukkan perilaku yang mencurigakan, seperti proses cryptomining atau membangun koneksi ke titik akhir berbahaya yang diketahui. Untuk informasi selengkapnya tentang mengaktifkan paket perlindungan ini, lihat[Pemantauan Runtime](runtime-monitoring.md). Jika Anda tidak mengaktifkan EKS Protection atau Runtime Monit GuardDuty oring, tidak akan dapat menghasilkan individual [Jenis penemuan Perlindungan EKS](guardduty-finding-types-eks-audit-logs.md) atau [Jenis temuan Pemantauan Runtime](findings-runtime-monitoring.md). Oleh karena itu, tidak GuardDuty akan dapat mendeteksi urutan serangan multi-tahap yang melibatkan temuan terkait. ### Mendeteksi urutan serangan di bucket Amazon S3 Mengaktifkan S3 Protec GuardDuty tion memberikan kemampuan untuk mendeteksi urutan serangan yang melibatkan upaya kompromi data di bucket Amazon S3 Anda. Tanpa Perlindungan S3, GuardDuty dapat mendeteksi kapan kebijakan sumber daya bucket S3 Anda menjadi terlalu permisif. Saat Anda mengaktifkan S3 Protection, GuardDuty memperoleh kemampuan untuk mendeteksi potensi aktivitas eksfiltrasi data yang mungkin terjadi setelah bucket S3 Anda menjadi terlalu permisif. Jika S3 Protection tidak diaktifkan, tidak GuardDuty akan dapat menghasilkan individual[Jenis temuan perlindungan S3](guardduty_finding-types-s3.md). Oleh karena itu, tidak GuardDuty akan dapat mendeteksi urutan serangan multi-tahap yang melibatkan temuan terkait. Untuk informasi selengkapnya tentang mengaktifkan paket perlindungan ini, lihat[Perlindungan S3](s3-protection.md). ### Mendeteksi urutan serangan di cluster Amazon ECS GuardDuty dapat mengidentifikasi urutan serangan seperti proses berbahaya, koneksi ke titik akhir berbahaya, atau perilaku penambangan kripto dalam wadah ECS. Dengan menghubungkan beragam sinyal di seluruh aktivitas jaringan, perilaku proses runtime, dan aktivitas AWS API, GuardDuty dapat mengidentifikasi pola serangan kompleks yang mungkin terlewatkan oleh deteksi individu dan memetakan vektor serangan lengkap. GuardDuty mewakili peristiwa terkait ini sebagai satu temuan tingkat keparahan kritis, yang disebut. `AttackSequence:ECS/CompromisedCluster` Penemuan urutan serangan mencakup skenario ancaman berikut: + Kompromi kontainer yang menjalankan layanan rentan + Eksekusi tidak sah dari alat yang mencurigakan, malware, atau proses cryptomining + Upaya untuk meningkatkan hak istimewa + Komunikasi dengan titik akhir yang mencurigakan **penting** Deteksi Ancaman yang Diperpanjang untuk ECS memerlukan Pemantauan Runtime untuk Fargate atau EC2, tergantung pada jenis infrastruktur ECS Anda. Pemantauan Runtime mengamati perilaku dalam wadah ECS yang berjalan pada instans Fargate dan EC2. ECS pada instans EC2 Terkelola tidak didukung. ### Mendeteksi urutan serangan di grup instans Amazon EC2 GuardDuty dapat mengidentifikasi urutan serangan yang mempengaruhi instans individual atau grup instans yang memiliki atribut umum seperti grup Penskalaan Otomatis, profil instans IAM, templat peluncuran, tumpu CloudFormation kan, AMI, atau ID VPC. Instans ini mungkin menunjukkan perilaku mencurigakan seperti proses berbahaya, koneksi ke titik akhir berbahaya, penambangan kripto, atau penggunaan kredentif instans EC2 yang tidak normal. Penemuan urutan serangan mendeteksi skenario ancaman berikut: + Kompromi instans yang menjalankan layanan rentan + Penggunaan kredentif instans Amazon EC2 yang diperoleh melalui IMDS dari luar AWS akun tempat kredensialnya dikeluarkan + Gunakan sebagai infrastruktur untuk serangan seperti proxy, pemindaian, atau penolakan layanan + Eksekusi tidak sah dari alat yang mencurigakan, malware, atau proses cryptomining + Komunikasi dengan titik akhir yang mencurigakan Deteksi Ancaman yang Diperluas membantu mengidentifikasi ancaman ini. GuardDuty mewakili peristiwa terkait ini sebagai satu temuan tingkat keparahan kritis, yang disebut. `AttackSequence:EC2/CompromisedInstanceGroup` Untuk meningkatkan Deteksi Ancaman yang Diperluas untuk kemampuan deteksi EC2, aktifkan Runtime Monitoring. Kombinasi fundamental GuardDuty, yang memantau CloudTrail dan aktivitas jaringan, dan Pemantauan Runtime, yang mengamati perilaku proses dan panggilan sistem dalam instance, memberikan deteksi ancaman yang lebih komprehensif. Pemantauan terintegrasi ini memungkinkan GuardDuty untuk mendeteksi urutan serangan canggih seperti akses tidak sah melalui kredenSIAL yang salah dikonfigurasi, upaya eskalasi hak istimewa, dan akses tidak sah ke data sensitif. Dengan menghubungkan beragam sinyal ini, GuardDuty dapat mengidentifikasi pola serangan kompleks yang mungkin terlewatkan oleh deteksi individu dan memetakan vektor serangan lengkap. ### Mendeteksi urutan serangan yang melibatkan beban kerja AI Akti [Perlindungan AI](ai-protection.md) fkan untuk membantu GuardDuty mendeteksi urutan serangan yang mengancam beban kerja AI di akun Anda. AI Protection menganalisis peristiwa AWS CloudTrail data dari Amazon Bedrock dan Amazon SageMaker AI. Ini dapat mendeteksi aktivitas seperti pemanggilan model anomali, serangan biaya panen, dan upaya injeksi cepat langsung. Untuk menambahkan sinyal dari beban kerja AI Anda ke urutan [AttackSequence:IAM/CompromisedCredentials](guardduty-attack-sequence-finding-types.md#attack-sequence-iam-compromised-credentials) serangan, Anda harus mengaktifkan Perlindungan AI. GuardDutykemudian dapat menggunakan jenis temuan berikut sebagai sinyal korelasi: + [Impact:IAMUser/AnomalousModelInvocation](findings-ai-protection.md#ai-protection-anomalousmodelinvocation) + [Impact:IAMUser/CostHarvesting](findings-ai-protection.md#ai-protection-costharvesting) + [Impact:IAMUser/PromptInjection.Direct](findings-ai-protection.md#ai-protection-promptinjection-direct) Misalnya, aktor ancaman mungkin menggunakan AWS kredenSIAL yang berpotensi dikompromikan yang sama untuk membuat pemanggilan model Amazon Bedrock atau Amazon SageMaker AI yang tidak normal. GuardDuty dapat mengkorelasikan pemanggilan itu dengan tindakan mencurigakan lainnya yang diambil dengan kredenSIAL tersebut. Ini kemudian mewakili mereka sebagai penemuan urutan [AttackSequence:IAM/CompromisedCredentials](guardduty-attack-sequence-finding-types.md#attack-sequence-iam-compromised-credentials) serangan tunggal. Dengan sendirinya, temuan Perlindungan AI tidak menghasilkan urutan serangan. Jika Perlindungan AI tidak diaktifkan, GuardDuty tidak dapat menghasilkan individual[Jenis penemuan Perlindungan AI](findings-ai-protection.md). Akibatnya, GuardDuty tidak dapat mendeteksi urutan serangan multi-tahap yang melibatkan temuan ini. Untuk informasi selengkapnya tentang mengaktifkan paket perlindungan ini, lihat[Perlindungan AI](ai-protection.md). ## Deteksi Ancaman Diperpanjang di GuardDuty konsol Secara default, halaman Deteksi Ancaman yang Diper GuardDuty luas di konsol menampilkan ** Status ** sebagai Di ** aktifkan**. Dengan deteksi ancaman dasar, status mewakili bahwa GuardDuty dapat mendeteksi urutan serangan potensial yang melibatkan aktivitas penemuan hak istimewa IAM di API Amazon S3 dan mendeteksi perubahan bidang kontrol S3 berikutnya. Gunakan langkah-langkah berikut untuk mengakses halaman Deteksi Ancaman yang Diperluas di GuardDuty konsol: 1. Anda dapat membuka GuardDuty konsol di [ https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/). 1. Di panel navigasi kiri, pilih Deteksi An ** caman yang Diperpanjang**. Halaman ini memberikan rincian tentang skenario ancaman yang dicakup oleh Deteksi Ancaman Diperpanjang. 1. Pada ** halaman Det ** eksi Ancaman yang Diperluas, lihat ** bagian Paket perlindungan ** terkait. Jika Anda ** ingin ** mengaktifkan paket perlindungan khusus untuk meningkatkan cakupan deteksi ancaman di akun Anda, pilih ** opsi ** Konfigurasi untuk paket perlindungan tersebut. ## Memahami dan mengelola temuan urutan serangan Temuan urutan serangan sama seperti GuardDuty temuan lain di akun Anda. Anda dapat melihatnya di ** halaman ** Temuan di GuardDuty konsol. Untuk informasi tentang melihat temuan, lihat[Halaman temuan di GuardDuty konsol](guardduty_working-with-findings.md). Mirip dengan GuardDuty temuan lain, temuan urutan serangan juga secara otomatis dikirim ke Amazon EventBridge. Berdasarkan pengaturan Anda, temuan urutan serangan juga diekspor ke tujuan penerbitan (bucket Amazon S3). Untuk menetapkan tujuan penerbitan baru atau memperbarui yang sudah ada, lihat[Mengekspor temuan yang dihasilkan ke Amazon S3](guardduty_exportfindings.md). ## Sumber daya tambahan Lihat bagian berikut untuk mendapatkan pemahaman lebih lanjut tentang urutan serangan: + Setelah mempelajari tentang Deteksi Ancaman yang Diperluas dan urutan serangan, Anda dapat menghasilkan jenis pencarian urutan serangan sampel dengan mengikuti langkah-langkah di[Sampel temuan](sample_findings.md). + Pelajari tentang [Jenis pencarian urutan serangan](guardduty-attack-sequence-finding-types.md). + Tinjau temuan dan jelajahi detail temuan yang terkait dengannya[Detail pencarian urutan serangan](guardduty_findings-summary.md#guardduty-extended-threat-detection-attack-sequence-finding-details). + Prioritaskan dan atasi jenis pencarian urutan serangan dengan mengikuti langkah-langkah untuk sumber daya terkait yang terkena dampak di[Mengatasi temuan](guardduty_remediate.md).