AWS GuardDuty

Définition

AWS GuardDuty est un service managé de détection continue des menaces proposé par Amazon Web Services, qui analyse en permanence, sans nécessiter de déploiement d'agent sur les instances surveillées, plusieurs sources de journalisation natives du compte AWS : les logs CloudTrail retraçant l'ensemble des appels API effectués sur le compte, les VPC Flow Logs décrivant les métadonnées du trafic réseau entre ressources, et les journaux de requêtes DNS résolues depuis l'environnement AWS. Le service croise ces flux avec des listes de menaces connues, adresses IP malveillantes, domaines associés à des infrastructures de commande et contrôle, ainsi qu'avec des modèles de machine learning entraînés pour détecter des comportements anormaux caractéristiques d'une compromission : appels API inhabituels effectués depuis une géolocalisation jamais observée sur ce compte, instance EC2 générant un trafic sortant caractéristique d'une activité de minage de cryptomonnaie ou de participation à un botnet, tentatives de reconnaissance ou d'exfiltration de données depuis un bucket S3, ou usage suspect de credentials IAM temporaires. Chaque détection génère une alerte classée par sévérité et enrichie du contexte complet, exploitable directement ou intégrée à un pipeline SOAR pour une réponse automatisée. GuardDuty s'active au niveau de l'organisation AWS entière via AWS Organizations, permettant une visibilité centralisée de la posture de menace sur l'ensemble des comptes d'une entreprise multi-comptes.