Een bedrijf heeft honderden AWS-accounts in een AWS Organizations-opstelling met één regio. Een speciaal account voor beveiligingstools is de gedelegeerde beheerder voor zowel Amazon GuardDuty als AWS Security Hub. GuardDuty en Security Hub worden automatisch ingeschakeld voor alle bestaande en nieuwe accounts. Tijdens controletests startte het team een EC2-instance en voerde DNS-query's uit naar example.com om een GuardDuty DNS-bevinding te activeren, maar er verscheen geen bevinding in het gedelegeerde beheerdersaccount van Security Hub. Wat is de meest waarschijnlijke reden dat de bevinding niet is aangemaakt?

De meest waarschijnlijke reden is dat de DHCP options set van de VPC verwijst naar een aangepaste OpenDNS-resolver. GuardDuty detecteert bedreigingen door het analyseren van AWS CloudTrail-gebeurtenislogboeken, VPC Flow Logs en DNS-logboeken. Als de DNS-query's via een aangepaste resolver buiten AWS omgaan, kan GuardDuty deze niet analyseren en dus geen bevinding genereren. VPC Flow Logs zijn niet strikt noodzakelijk voor alle GuardDuty DNS-bevindingen, hoewel ze nuttig zijn voor andere typen. De integratie tussen GuardDuty en Security Hub is al geconfigureerd, aangezien het beveiligingstools-account een gedelegeerde beheerder is. Cross-Region-aggregatie is niet relevant, aangezien de opstelling zich in één regio bevindt en de bevinding lokaal niet werd weergegeven.