GuardDuty научили выявлять атаки по пяти новым индикаторам

GuardDuty добавил пять новых типов индикаторов для анализа атак

Сервис Amazon GuardDuty начал использовать пять новых типов индикаторов для корреляции слабых сигналов в единую последовательность атак высокой степени критичности. Нововведение заработало 20 мая 2026 года. Новые индикаторы включают MALICIOUS_PACKAGE, MISCONFIGURATION, REACHABILITY, SENSITIVE_DATA и VULNERABILITY. Они поступают из сервисов Amazon Inspector, Amazon VPC Reachability Analyzer, Amazon Macie и данных о состоянии безопасности из AWS Security Hub. Эти данные интегрируются в отчеты о последовательностях атак (attack sequence findings). Обновление помогает GuardDuty приоритизировать наиболее важные сигналы в аккаунте. Это повышает точность обнаружения активных угроз на Amazon EC2, Amazon ECS и Amazon EKS.

Слабый сигнал сам по себе не указывает на угрозу. Например, обнаружение уязвимости (CVE) на хосте не означает, что она эксплуатируется. Новые индикаторы предоставляют контекст, который усиливает такие сигналы. Если слабый сигнал обнаруживается на хосте, который также имеет неисправленные CVE, известный вредоносный пакет, неправильную конфигурацию (например, включенный IMDSv1) и доступен из интернета, GuardDuty классифицирует это как критическую последовательность атак.

Индикатор VULNERABILITY содержит информацию о CVE, уровне критичности по Common Vulnerability Scoring System (CVSS) и вероятности эксплуатации по Exploit Prediction Scoring System (EPSS). EPSS оценивает вероятность эксплуатации уязвимости в течение 30 дней по шкале от 0 до 1. Этот показатель полезен для реагирования на инциденты, в отличие от CVSS, который описывает только серьезность самой уязвимости.

Для работы новых индикаторов необходимо включить следующие сервисы AWS: Amazon Inspector для обнаружения уязвимостей и вредоносных пакетов на EC2 и EKS; AWS Security Hub для анализа конфигураций; Amazon VPC Reachability Analyzer для анализа сетевой доступности; GuardDuty Runtime Monitoring для отслеживания активности в реальном времени на EC2, ECS и EKS; Amazon Macie для поиска конфиденциальных данных.

Новые индикаторы обогащают анализ атак на EKS и EC2

Сервис GuardDuty теперь коррелирует слабые сигналы с новыми индикаторами, повышая точность обнаружения атак. Например, при анализе кластера Amazon EKS было обнаружено 55 сигналов EKS_AUDIT_LOGS и 18 сигналов на уровне находок, исходящих от одного внешнего IP-адреса. До обновления эти события не были связаны в единую критическую атаку, так как отсутствовали явные признаки вредоносного процесса. С новыми индикаторами были выявлены: вредоносный пакет MAL-2022-4933, 42 уязвимости CVE (33 из них критические), включая CVE-2022-1471 и CVE-2024-4577. Также обнаружена доступность API кластера из интернета и включенный IMDSv1 на рабочих узлах. Эти данные позволили GuardDuty классифицировать инцидент как AttackSequence:EKS/CompromisedCluster с критическим уровнем серьезности.

В другом примере с инстансами EC2, GuardDuty зафиксировал коммуникацию с известным сервисом для майнинга криптовалют. Новые индикаторы добавили контекст уязвимости CVE-2007-4559 на двух из трех затронутых инстансов. Это позволило не только заблокировать исходящее соединение, но и устранить первопричину атаки — уязвимость в Python tarfile. Это ускорило реагирование на инцидент.

В первую неделю после запуска новых индикаторов были зафиксированы следующие CVE: CVE-2024-4577 (PHP-CGI argument injection), CVE-2022-1471 (SnakeYAML deserialization), CVE-2022-37434 (zlib heap buffer overflow), CVE-2007-4559 (Python tarfile path-traversal), CVE-2025-29927 (Next.js authentication bypass), CVE-2024-34351 (Next.js SSRF), CVE-2023-44487 (HTTP/2 Rapid Reset). Также обнаружены артефакты вредоносного ПО, включая варианты Linux/frp (Fast Reverse Proxy), используемые для туннелей командного управления, и индикаторы Burp Collaborator. Часто наблюдалась корреляция между одним внешним IP-адресом, который аутентифицировался под несколькими учетными записями IAM на разных сервисах AWS.