O AWS GuardDuty é o serviço nativo de detecção de ameaças da AWS. Analisa continuamente CloudTrail, VPC Flow Logs, logs DNS, audit logs do EKS, eventos de dados S3 e (com o add-on de malware) volumes EBS, emitindo findings com severidade, mapeamento MITRE ATT&CK e dicas de remediação.
Categorias a reconhecer:
- Recon (port scan, IP de anonimização).
- UnauthorizedAccess (exfiltração de credenciais IAM ou de instância).
- CryptoCurrency (tráfego de mineração).
- Backdoor / Trojan / Behavior (Tor, C2 conhecido).