Un'azienda ha abilitato Amazon GuardDuty in tutte le regioni AWS. In una VPC, un'istanza EC2 funziona come server FTP e riceve un elevato volume di connessioni da molte posizioni client. GuardDuty lo segnala come un attacco di forza bruta. L'azienda ha contrassegnato il rilevamento come un falso positivo, ma GuardDuty continua a generarlo. Come può un ingegnere della sicurezza ridurre il rumore senza sacrificare la visibilità su anomalie legittime?

La creazione di una regola di soppressione di GuardDuty è la soluzione più efficace. Questa funzionalità consente di archiviare automaticamente i rilevamenti che corrispondono a criteri specifici (ad esempio, tipo di rilevamento, indirizzo IP, porta) senza disabilitare completamente il rilevamento o ignorare altre minacce. In questo modo, si riduce il "rumore" dei falsi positivi pur mantenendo la visibilità su anomalie legittime che non rientrano nei criteri di soppressione. Disabilitare la regola relativa all'FTP in GuardDuty è troppo drastico, poiché impedirebbe il rilevamento di attacchi di forza bruta reali contro il server FTP. Aggiungere l'indirizzo IP del server FTP a un elenco IP attendibili non è applicabile in questo scenario, in quanto il problema non è l'IP del server, ma il volume di connessioni legittime che GuardDuty interpreta erroneamente come un attacco. Creare una funzione AWS Lambda per eliminare i rilevamenti è inefficiente e non è la soluzione nativa e raccomandata da GuardDuty per gestire i falsi positivi.