한 회사에서 모든 AWS 리전에서 Amazon GuardDuty를 활성화했습니다. 한 VPC에서 EC2 인스턴스가 FTP 서버로 작동하며 여러 클라이언트 위치로부터 많은 연결을 수신합니다. GuardDuty는 이를 무차별 대입 공격으로 플래그 지정합니다. 회사는 이 발견을 오탐으로 표시했지만 GuardDuty는 계속해서 이를 생성합니다. 보안 엔지니어는 합법적인 이상 징후에 대한 가시성을 희생하지 않으면서 노이즈를 줄이려면 어떻게 해야 할까요?

GuardDuty 억제 규칙을 생성하면 특정 기준(예: FTP 서버의 IP 주소, 발견 유형)과 일치하는 새로운 발견을 자동으로 보관하여 오탐으로 인한 알림 노이즈를 줄일 수 있습니다. 이는 합법적인 위협에 대한 가시성을 유지하면서 불필요한 알림을 효과적으로 관리하는 방법입니다. 다른 옵션들은 다음과 같은 이유로 적절하지 않습니다. GuardDuty에서 FTP 관련 규칙을 비활성화하는 것은 잠재적인 실제 위협에 대한 탐지를 놓칠 수 있습니다. FTP 서버의 IP 주소를 신뢰할 수 있는 IP 목록에 추가하는 것은 GuardDuty의 신뢰할 수 있는 IP 목록 기능이 주로 알려진 안전한 IP 주소로부터의 통신을 허용하는 데 사용되며, 무차별 대입 공격과 같은 악의적인 시도를 무시하는 데는 적합하지 않습니다. AWS Lambda 함수를 사용하여 발견을 삭제하는 것은 반응적인 접근 방식이며, GuardDuty의 내장된 억제 기능을 사용하는 것보다 효율적이지 않고 복잡합니다.