导读

随着云计算的不断普及，针对云环境的网络风险也变得越来越复杂和持续。本次会议将分享Amazon GuardDuty的最新功能，帮助您更好地保护您的云工作负载和数据。了解GuardDuty如何提供全托管的威胁检测服务，为您的亚马逊云科技环境提供端到端的可视性。GuardDuty独特的检测能力源于亚马逊云科技对云威胁环境的深入洞察，这可以帮助响应人员更快地解决问题，最大限度地缩短平均修复时间（MTTR），并优化安全资源——使您的团队能够将更多时间用于创新，而不是追查安全风险。

演讲精华

以下是小编为您整理的本次演讲的精华。

在充满电力的亚马逊云科技 re:Invent 2024大会现场，一群备受推崇的演讲者登台，揭开了Amazon GuardDuty云威胁检测的最新进展。全球检测和响应服务的市场推广安全负责人Matt首先感谢与会者抽出宝贵时间参加此次活动，认识到时间是我们最宝贵的资产。

Amazon GuardDuty的产品经理Shakhar Hirschberg和亚马逊云科技安全服务的高级首席科学家Barish与Matt一同揭开了这项复杂威胁检测服务的内在细节。演讲者立即强调GuardDuty运营的惊人规模，在亚马逊云科技前2000大客户中获得了95%的采用率，前后或许有1%或2%的误差。该服务无缝覆盖了数百万个账户、数亿个EC2实例和数百万个存储桶，而不会给客户带来任何重复的繁重工作。

Matt深入探讨了Amazon GuardDuty的基础保护计划，这些计划利用了亚马逊云科技内部安全团队的威胁情报。其中一个团队Mithra每天发现惊人的180，000个新的恶意域名，使GuardDuty能够在这些域名出现在公开可用的威胁情报列表或付费服务之前几天甚至几周就向客户发出警报。这种主动方法确保客户始终领先于新兴威胁，可能比传统方法提前数月发出警报。Matt分享了与一位客户的对话，该客户曾考虑构建类似的威胁情报模型，但意识到亚马逊云科技独一无二地能够以Mithra的规模提供服务，后者拥有数十亿个节点和数万亿个边缘或请求。

GuardDuty威胁情报的另一个重要组成部分是全球分布的蜜罐网络Madpot。就像蜜蜂被蜜吸引一样，恶意行为者被云中的宝贵数据所吸引。Madpot使亚马逊云科技能够了解这些行为者在云环境中采用的行为策略，从而开发出强大的行为模型，并实时与Amazon GuardDuty服务共享。这一情报对于阻止Vault、Typhoon和Sandworm等攻击至关重要，因为亚马逊云科技内部安全团队合作共享日志并补救威胁。

在Prime Day活动期间，GuardDuty展现了其实力，每小时监控惊人的6万亿条日志事件，同比增长32%，而客户无需管理底层基础设施。这一壮举彰显了GuardDuty无缝扩展的能力，确保在高需求期间为客户提供不间断的保护。Matt分享了自己作为Prime Day用户的个人经历，他的母亲在活动期间在他家发现了多个包裹，突出了GuardDuty成功监控的使用量增加。

GuardDuty的保护计划汇总了来自各种资源的数据，包括CloudTrail、VPC流日志、DNS解析器日志等。该服务智能地修剪数据，只包含与安全相关的事件，并应用亚马逊云科技内部的AI和ML算法生成发现结果。这些发现结果可以无缝集成到第三方工具、亚马逊云科技服务(如Security Hub和Detective)或通过EventBridge流访问，为客户提供全面的安全态势视图。

GuardDuty的一个关键优势是能够独立、不间断地收集日志，确保持续监控和分析。Matt强调，GuardDuty提供了在其他地方难以获得的遥测数据和见解，例如RDS登录事件，让客户更深入地了解其云环境的安全状况。

除了基础威胁检测服务外，GuardDuty还提供针对特定资源(如EC2、EKS和Fargate)的可选保护计划。这些计划附带30天的免费试用期，让客户在承诺之前评估服务能力。值得注意的是，免费试用期适用于每个新的保护计划和每个账户，为跨多个环境的测试和部署提供了灵活性。

今年GuardDuty的一个重点是运行时监控，推出了一种轻量级的eBPF代理，可自动部署在资源上。这种由GuardDuty服务完全管理的代理具有高性能和轻量级的特点，确保对生产应用程序的影响最小。它可以无缝集成到EC2实例作为SSM、EKS作为插件和Fargate作为sidecar，收集日志并自动将其发送到模型进行分析。

这种基于代理的运行时保护的一个独特之处在于，对于部署了代理的资源，将不再产生与VPC流日志监控相关的成本。虽然GuardDuty仍将分析VPC流日志，但客户将不会产生额外费用，进一步提高了服务的成本效益。

基于代理的运行时保护还为容器工作负载提供了更深入的上下文，提供了对单个pod、主机任务进程ID和其他以前无法获得的细粒度详细信息的洞察。这种增强的可见性使客户能够采取有针对性的补救措施，精准地解决安全问题。

Shakhar Hirschberg随后介绍了GuardDuty的突破性Extended Threat Detection功能，直接响应客户对更全面的威胁检测方法的反馈。这一新功能可以跨数据源和时间窗口关联多个安全信号，识别跨越24小时的攻击序列，可能涉及各种资源。

这些攻击序列作为一种新类型的发现结果，严重程度为9级，提供了相关活动的综合视图，消除了客户手动拼凑单个警报的需要。通过将这些序列映射到MITRE ATT&CK框架，GuardDuty提供了一种通用语言来理解恶意行为者采用的策略和技术，促进了与其他安全工具的无缝集成。

Shakhar强调，Extended Threat Detection功能对现有GuardDuty客户自动启用，无需任何额外配置或成本。这种无缝集成确保客户能够立即从这种先进的威胁检测功能中获益，进一步增强了GuardDuty的价值主张。

攻击序列最初关注两个普遍的攻击向量:凭证被入侵和S3存储桶中的数据被入侵。Shakhar提供了一个引人入胜的例子，说明与凭证被入侵相关的攻击序列可能包括多个活动，如用于发现的凭证被滥用、创建新用户等持久性活动，以及启动EC2实例进行加密挖矿等影响行为，跨越了从初始访问到数据渗透的攻击链。

在数据被入侵的情况下，GuardDuty的S3保护计划发挥了关键作用，通过关联来自基础GuardDuty的控制平面活动和来自S3数据平面的遥测数据，检测对S3存储桶中宝贵数据资产的渗透或破坏尝试。这种全面的方法确保了对客户存储在S3存储桶中的数据资产的全面保护。

展望未来，GuardDuty计划将攻击序列覆盖范围扩展到主机被入侵等场景，利用运行时监控功能和其他保护计划来检测EC2实例上的可疑活动，如执行可疑命令、下载恶意文件和与已知加密挖矿池通信。

Shakhar随后现场演示了Extended Threat Detection功能，展示了攻击序列发现结果提供的丰富上下文和可操作信息。控制台体验得到增强，包括一个突出显示攻击序列严重程度的概览小部件，使安全团队能够在演示账户中的400多种不同发现结果中快速识别和优先处理高置信度威胁，其中只有3个是攻击序列。

攻击序列发现结果包括活动的详细描述、所采取行动的证据，以及映射到跨越攻击链的MITRE ATT&CK策略和技术，从初始访问和发现到防御逃避、持久性、影响和渗透。客户还可以直接从发现结果中访问建议的最佳实践和补救步骤，简化事件响应流程。

Shakhar强调了攻击序列发现结果的全面性，其中包括诸如参与者(如具有特定主体ID的管理员用户)、受影响资源(包括S3存储桶)以及任何可疑的网络连接(如来自都柏林的位置或Kali Linux等用户代理)等上下文信息。这种细节层次使安全团队能够做出明智的决策，并采取有针对性的行动来有效缓解威胁，甚至识别出删除CloudTrail跟踪、S3对象和存储桶等高度可疑和意外的活动。

为验证扩展威胁检测功能的有效性，亚马逊云科技进行了一次私人测试版，涉及数十位客户和数万个亚马逊云科技账户。其中一位参与客户Infor是一家全球企业软件公司，他们报告称新功能显著减少了分析单个GuardDuty发现所需的时间，让他们能够专注于最高置信度和优先级的威胁。此外，攻击序列还帮助Infor识别并解决了组织内不满意的安全习惯。Infor云安全副总裁Derek Bush表示，新功能确实帮助他们减少了分析单个发现的时间，更多地关注高优先级威胁，同时还识别出需要解决的潜在不满意的安全实践。

另一位客户是亚马逊游戏、媒体和娱乐的首席信息安全官Brian Lozada，包括Prime Video和Twitch。他分享了新功能如何通过以可操作的方式呈现多阶段攻击，使他们能够更早缓解威胁。Lozada强调，扩展威胁检测功能通过提供深入的威胁检测和对多阶段攻击的可操作见解，帮助亚马逊内部团队保护他们的账户和子公司。

随后，亚马逊云科技安全服务高级首席科学家Barish登台揭开GuardDuty机器学习模型和分析背后的奥秘。他解释说，GuardDuty中的一类模型专注于从CloudTrail、EKS审计日志和S3数据平面日志等遥测数据源中提取安全信号。

为准确提取这些安全信号，模型必须了解诸如用户名、账户ID、角色、实例、API名称和自治系统号等实体的行为特征。这种理解是通过表示学习技术实现的，该技术为每个实体找到代表性向量，捕获其行为模式。表现出相似行为的实体在高维空间中映射到更近的点，使模型能够区分真正意外的活动和新的但预期的行为。

Barish举了一个生动的例子，涉及一位名叫Nikki的用户，她曾从一个阿根廷电信ISP调用“启动实例”API。当Nikki随后从另一个阿根廷电信ISP调用“停止实例”API时，模型将其识别为新的但预期的行为，因为“启动实例”和“停止实例”的表示相似，而且电信ISP在地理位置上较近，表明存在常见的用户漫游模式。

GuardDuty中的下一类算法将提取的安全信号分组为更高保真度的发现，为Shakhar演示的扩展威胁检测功能提供支持。这些算法采用聚类技术来识别相关信号，例如涉及相同参与者、对同一资源的操作或一段时间内的属性组合。

然而，并非所有信号组都同样有趣或从安全角度来看都相关。为解决这个问题，GuardDuty应用了一种排名算法，将最有趣的信号组优先呈现给安全专家。该排名模型经过训练，能够模拟安全专家的思维过程，通过一个标记库捕获他们的领域专业知识。

这些标记本质上是由安全专家编码的规则或函数，代表他们会提出的问题和寻求的证据，以建立对潜在威胁的信心。标记的示例包括检查高风险API调用、不寻常的实例类型、与VPN或匿名网络相关的低信誉IP地址，以及可疑的用户代理(如Kali Linux)。

排名模型汇总了这些标记的结果，学会贬低那些彼此矛盾的标记的贡献，同时奖励那些与已知恶意案例一致或一致的标记。这种方法确保了最相关和高置信度的信号组被呈现给客户，从而减少噪音和误报。

Barish最后邀请与会者参加即将举行的研讨会，以及未来的re:Inforce活动，在那里他们可以深入探讨GuardDuty的分析和机器学习模型。

整个会议期间，演讲者都强调启用新攻击序列发现的通知的重要性，因为这些代表了需要立即关注的高置信度威胁。他们鼓励客户利用这些发现提供的丰富上下文和可操作信息，来简化威胁检测和响应流程。

亚马逊GuardDuty扩展威胁检测功能的推出，标志着云安全领域的一个重大里程碑，为客户提供了一种全面和智能的方法来发现复杂的多阶段攻击。通过结合亚马逊云科技庞大的威胁情报、先进的机器学习模型以及对云环境的深入理解，GuardDuty继续提高保护客户宝贵资产和确保云基础设施弹性的标准。

我们正处在 Agentic AI 爆发前夜。 2025 亚马逊云科技中国峰会提出，企业要从 " 成本优化 " 转向 " 创新驱动 " ，通过完善的数据战略和 AI 云服务，把握全球化机遇。亚马逊将投入 1000 亿美元在 AI 算力、云基础设施等领域，通过领先的技术实力和帮助“中国企业出海“和”服务中国客户创新“的丰富经验，助力企业在 AI 时代突破。