У компании сотни аккаунтов AWS в рамках одной региональной настройки AWS Organizations. Выделенный аккаунт для инструментов безопасности является делегированным администратором как для Amazon GuardDuty, так и для AWS Security Hub. GuardDuty и Security Hub автоматически включены для всех существующих и новых аккаунтов. Во время тестирования контроля команда запустила инстанс EC2 и выполнила DNS-запросы к example.com, чтобы вызвать обнаружение GuardDuty DNS, но в аккаунте делегированного администратора Security Hub обнаружение не появилось. Какова наиболее вероятная причина того, что обнаружение не было создано?

Наиболее вероятная причина отсутствия обнаружения GuardDuty в Security Hub заключается в том, что набор опций DHCP для VPC указывает на пользовательский резолвер OpenDNS. GuardDuty использует DNS-запросы к своим собственным доменам для обнаружения вредоносной активности. Если DNS-запросы перенаправляются на сторонний резолвер, GuardDuty не сможет обнаружить активность, поскольку запросы не будут проходить через его механизмы мониторинга. Остальные варианты менее вероятны: VPC Flow Logs не требуются для обнаружения GuardDuty DNS. GuardDuty анализирует DNS-запросы независимо от Flow Logs. Интеграция GuardDuty с Security Hub обычно включена по умолчанию, особенно если Security Hub централизованно управляется в AWS Organizations. Если бы она не была включена, то не появилось бы никаких обнаружений GuardDuty. Агрегация между регионами в Security Hub не имеет отношения к этой проблеме, так как обнаружение должно было появиться в аккаунте делегированного администратора в том же регионе, где произошло событие.