GuardDuty 멀웨어 탐지 스캔 엔진

Amazon GuardDuty 에는 내부적으로 구축되고 관리되는 스캔 엔진과 타사 공급업체 가 있습니다. 두 가지 모두 를 대상으로 할 수 있는 다양한 종류의 맬웨어에 대한 가시성이 있는 다양한 내부 피드에서 얻은 침해 지표(IoCs)를 사용합니다 AWS. GuardDuty 또한 에는 보안 엔지니어가 추가한 YARA 규칙을 기반으로 하는 탐지 정의와 체험 및 기계 학습(ML) 모델을 기반으로 하는 탐지가 있습니다. 서명 기반 감지에는 바이트 매칭뿐만 아니라 잠재적으로 복잡한 코드 조각도 포함되며 스캐너는 콘텐츠를 구문 분석하고 결정을 내릴 수 있습니다.

맬웨어 스캔 엔진은 실제 시스템에서 실행될 때 맬웨어 기폭이 샘플을 모니터링하는 실시간 동작 분석을 수행하지 않습니다. 이 GuardDuty 솔루션은 주로 파일 기반 탐지입니다. 파일리스 맬웨어를 감지하기 위해 는 Amazon , Amazon 및 EKS EC2AmazonECS( 포함)Runtime Monitoring과 같은 에이전트 기반 솔루션을 GuardDuty 제공합니다 AWS Fargate.

맬웨어를 GuardDuty 스캔하는 파일 형식에 대한 제한 없이 맬웨어가 사용하는 스캔 엔진은 크립토마이너, 랜섬웨어 및 웹셸과 같은 다양한 유형의 맬웨어를 감지할 수 있습니다. 완전 관리형 GuardDuty 스캔 엔진은 15분마다 맬웨어 서명 목록을 지속적으로 업데이트합니다.

스캔 엔진은 내부 맬웨어 기폭 구성 요소를 사용하는 GuardDuty 위협 인텔리전스 시스템의 일부입니다. 이렇게 하면 여러 소스에서 맬웨어 및 양성 샘플을 독립적으로 수집하여 새로운 위협 인텔리전스가 생성됩니다. 위협 인텔리전스 시스템의 파일 해시 IoC 유형은 알려진 잘못된 파일 해시를 기반으로 맬웨어를 탐지하기 위해 맬웨어 스캔 엔진에 추가로 피드됩니다.