Ein Unternehmen verfügt über Hunderte von AWS-Konten in einer AWS Organizations-Einrichtung mit einer einzigen Region. Ein dediziertes Sicherheits-Tooling-Konto ist der delegierte Administrator sowohl für Amazon GuardDuty als auch für AWS Security Hub. GuardDuty und Security Hub werden automatisch für alle bestehenden und neuen Konten aktiviert. Während der Kontrolltests startete das Team eine EC2-Instance und führte DNS-Abfragen an example.com durch, um einen GuardDuty-DNS-Fund auszulösen. Es wurde jedoch kein Fund im delegierten Administratorkonto von Security Hub angezeigt. Was ist der wahrscheinlichste Grund dafür, dass der Fund nicht erstellt wurde?

GuardDuty überwacht DNS-Abfragen, um bösartige Aktivitäten zu erkennen. Wenn eine VPC so konfiguriert ist, dass sie einen benutzerdefinierten DNS-Resolver (wie OpenDNS) anstelle des standardmäßigen AWS-DNS-Resolvers verwendet, kann GuardDuty die DNS-Abfragen, die von Instanzen in dieser VPC ausgehen, nicht überwachen. Dies führt dazu, dass GuardDuty keine DNS-bezogenen Findings generiert, selbst wenn eine bösartige Aktivität auftritt. VPC Flow Logs sind für viele GuardDuty-Findings nützlich, aber DNS-Findings basieren hauptsächlich auf der Überwachung des DNS-Verkehrs durch GuardDuty selbst, nicht auf Flow Logs. Die GuardDuty-Integration mit Security Hub ist auf Organisationsebene konfiguriert und würde Findings weiterleiten, wenn sie generiert würden. Die regionsübergreifende Aggregation ist irrelevant, da die Einrichtung nur eine einzige Region umfasst.