Ein Unternehmen hat Amazon GuardDuty in allen AWS-Regionen aktiviert. In einer VPC fungiert eine EC2-Instance als FTP-Server und empfängt eine große Anzahl von Verbindungen von vielen Client-Standorten. GuardDuty kennzeichnet dies als Brute-Force-Angriff. Das Unternehmen hat die Erkennung als Fehlalarm markiert, aber GuardDuty generiert sie weiterhin. Wie kann ein Sicherheitsingenieur die Störungen reduzieren, ohne die Sichtbarkeit legitimer Anomalien zu beeinträchtigen?

Die Erstellung einer GuardDuty-Unterdrückungsregel ist die effektivste Methode, um Fehlalarme zu reduzieren, ohne die Erkennung legitimer Bedrohungen zu beeinträchtigen. Diese Regel archiviert automatisch neue Findings, die den definierten Kriterien entsprechen (z. B. den spezifischen Finding-Typ für den FTP-Server), und verhindert so, dass sie in der Konsole angezeigt werden, während die Rohdaten für forensische Zwecke verfügbar bleiben. Das Deaktivieren der FTP-bezogenen Regel würde alle FTP-Angriffe in der Region übersehen. Das Hinzufügen der IP-Adresse des FTP-Servers zu einer vertrauenswürdigen IP-Liste ist nicht korrekt, da der Server die Quelle der Verbindungen ist, die als Brute-Force erkannt werden, nicht das Ziel eines Angriffs von einer vertrauenswürdigen IP. Eine Lambda-Funktion zum Löschen von Findings ist eine reaktive Lösung, die die GuardDuty-Konsole unnötig überlasten würde, bevor sie gelöscht werden, und ist weniger effizient als eine proaktive Unterdrückungsregel.