Firma posiada setki kont AWS w konfiguracji AWS Organizations w jednym regionie. Dedykowane konto narzędzi bezpieczeństwa jest delegowanym administratorem zarówno dla Amazon GuardDuty, jak i AWS Security Hub. GuardDuty i Security Hub są automatycznie włączane dla wszystkich istniejących i nowych kont. Podczas testowania kontroli zespół uruchomił instancję EC2 i wydał zapytania DNS do example.com, aby wywołać wykrycie DNS przez GuardDuty, ale żadne wykrycie nie pojawiło się na koncie delegowanego administratora Security Hub. Jaka jest najbardziej prawdopodobna przyczyna, dla której wykrycie nie zostało utworzone?

Poprawna odpowiedź to: Zestaw opcji DHCP VPC wskazuje na niestandardowy resolver OpenDNS. GuardDuty opiera się na logach DNS, aby wykrywać złośliwe zapytania. Jeśli VPC korzysta z niestandardowego resolvera DNS (np. OpenDNS) skonfigurowanego w zestawie opcji DHCP, ruch DNS nie przechodzi przez resolver DNS AWS, co uniemożliwia GuardDuty jego monitorowanie i generowanie wykryć. Niepoprawne opcje: VPC Flow Logs nie były włączone dla VPC hostującego instancję EC2: Chociaż VPC Flow Logs są przydatne do monitorowania ruchu sieciowego, GuardDuty nie wymaga ich do wykrywania zagrożeń związanych z DNS. Integracja GuardDuty z Security Hub nigdy nie została włączona na koncie, z którego pochodziło wykrycie: Pytanie stwierdza, że konto narzędzi bezpieczeństwa jest delegowanym administratorem dla obu usług i są one automatycznie włączane, co sugeruje, że integracja powinna działać. Problem dotyczy braku wykrycia w GuardDuty, a nie jego przekazania do Security Hub. Agregacja między regionami w Security Hub nie została skonfigurowana: Problem dotyczy braku wykrycia w GuardDuty w ogóle, a nie jego widoczności w innym regionie Security Hub.