Pourquoi GuardDuty n'a-t-il généré aucun type de résultat après que je l’ai activé dans mon environnement ?

Résolution

Vérifier le statut de GuardDuty

Assurez-vous d'avoir activé GuardDuty. Si vous avez suspendu ou désactivé GuardDuty, GuardDuty ne génère aucun type de résultat. Il est recommandé d'activer GuardDuty dans toutes les régions AWS prises en charge. Cela permet à GuardDuty de générer des types de résultats pour les activités non autorisées ou inhabituelles, même dans les régions que vous n'utilisez pas activement.

Remarque : Si GuardDuty ne détecte pas de menaces de sécurité, il ne génère pas de type de résultat.

Activer les sources de données

GuardDuty utilise des sources de données pour détecter les activités non autorisées et inattendues liées aux types de ressources pour certains services AWS. Vérifiez que vous avez activé toutes les sources de données.

Il est recommandé d'activer les protections suivantes :

• Protection Amazon Elastic Kubernetes Service (Amazon EKS)
• Protection Amazon Simple Storage Service (Amazon S3)
• Protection contre les logiciels malveillants pour Amazon Elastic Compute Cloud (Amazon EC2)

Si GuardDuty ne détecte pas un fichier suspect comme étant un logiciel malveillant, vérifiez que vous avez activé les protections nécessaires. Vérifiez si les fichiers présentent l’état de logiciel malveillant.

Remarque : GuardDuty traite uniquement les journaux DNS lorsque vous utilisez le résolveur DNS du cloud privé virtuel (VPC) par défaut. Les autres types de résolveurs DNS ne génèrent pas de résultats basés sur le DNS.

Examiner les résultats supprimés des listes d'adresses IP approuvées

Si vous configurez des listes d'adresses IP approuvées, elles peuvent empêcher la génération de types de résultats pour les événements qui se produisent à partir d'adresses IP approuvées.

Il est recommandé d'utiliser une règle de suppression au lieu d'une liste d'adresses IP approuvées afin de prendre connaissance des problèmes détectés dans votre environnement. Vous pouvez consulter les résultats supprimés depuis la console GuardDuty en modifiant le menu d'affichage Résultats de Actuel à Archivé.

Tester des exemples de résultats

Pour créer des exemples de résultats GuardDuty à tester, effectuez l'une des actions suivantes :

• Créez des exemples de résultats à partir de la console ou de l'API GuardDuty.
• Exécutez des scripts de test pour générer des résultats.

Informations connexes

Démarrer avec GuardDuty

Pourquoi GuardDuty m'a-t-il envoyé des résultats d'alerte pour une adresse de liste d’adresses IP approuvées ?