Une entreprise possède des centaines de comptes AWS dans une configuration AWS Organizations à région unique. Un compte d'outils de sécurité dédié est l'administrateur délégué pour Amazon GuardDuty et AWS Security Hub. GuardDuty et Security Hub sont automatiquement activés pour tous les comptes existants et nouveaux. Lors des tests de contrôle, l'équipe a lancé une instance EC2 et a émis des requêtes DNS vers example.com pour déclencher une détection DNS GuardDuty, mais aucune détection n'est apparue dans le compte d'administrateur délégué de Security Hub. Quelle est la raison la plus probable pour laquelle la détection n'a pas été créée ?

La raison la plus probable est que l'ensemble d'options DHCP du VPC pointe vers un résolveur OpenDNS personnalisé. GuardDuty s'appuie sur la surveillance des requêtes DNS via le résolveur DNS par défaut d'AWS pour détecter les activités malveillantes. Si un résolveur DNS personnalisé est utilisé, GuardDuty ne peut pas intercepter et analyser ces requêtes, ce qui empêche la génération de détections basées sur le DNS. Les VPC Flow Logs ne sont pas directement nécessaires pour les détections DNS de GuardDuty. L'intégration de GuardDuty avec Security Hub est gérée au niveau de l'administrateur délégué et est activée par défaut lors de la configuration. L'agrégation inter-régions n'est pas pertinente ici, car la configuration est à région unique.