Por que o GuardDuty não gerou nenhum tipo de descoberta depois que eu ativei o GuardDuty em meu ambiente?

Resolução

Verificar o status do GuardDuty

Certifique-se de ter ativado o GuardDuty. Se você suspendeu ou desativou o GuardDuty, este não gera nenhum tipo de descoberta. É uma prática recomendada ativar o GuardDuty em todas as regiões compatíveis da AWS. Isso permite que o GuardDuty gere tipos de descoberta para atividades não autorizadas ou incomuns, mesmo em regiões que você não está usando ativamente.

Observação: se o GuardDuty não detectar ameaças à segurança, ele não gerará nenhum tipo de descoberta.

Ativar fontes de dados

O GuardDuty usa fontes de dados para detectar atividades não autorizadas e inesperadas com tipos de recursos para alguns serviços da AWS. Confirme se você ativou todas as fontes de dados.

É uma prática recomendada ativar as seguintes proteções:

• Proteção do Amazon Elastic Kubernetes Service (Amazon EKS)
• Proteção do Amazon Simple Storage Service (Amazon S3)
• Proteção contra malware para Amazon Elastic Compute Cloud (Amazon EC2)

Se o GuardDuty não detectar um arquivo malicioso como malware, verifique se você ativou as proteções necessárias. Confirme o status de malware dos arquivos.

Observação: o GuardDuty só processa logs de DNS quando você usa o resolvedor de DNS padrão da nuvem privada virtual (VPC). Outros tipos de resolvedores de DNS não gerarão descobertas baseadas em DNS.

Consultar descobertas suprimidas de listas de endereços IP confiáveis

Se você configurar listas de endereços IP confiáveis, elas poderão impedir a geração de tipos de descoberta para eventos que ocorrem a partir de endereços IP confiáveis.

É uma prática recomendada usar uma regra de supressão em vez de uma lista de endereços IP confiáveis para identificar os problemas detectados em seu ambiente. É possível consultar descobertas suprimidas no console do GuardDuty alterando o menu de visualização de Descobertas de Atual para Arquivado.

Descobertas da amostra de teste

Para criar amostras de descobertas do GuardDuty para teste, execute uma das seguintes ações:

• Crie amostras de descobertas partir do console ou da API do GuardDuty.
• Execute scripts de teste para gerar descobertas.

Informações relacionadas

Conceitos básicos sobre o GuardDuty

Por que o GuardDuty enviou descobertas de alerta para um endereço da lista de IPs confiáveis?