Bir şirket, tüm AWS Bölgelerinde Amazon GuardDuty'yi etkinleştirdi. Bir VPC'de, bir EC2 örneği bir FTP sunucusu olarak işlev görüyor ve birçok istemci konumundan yüksek hacimli bağlantılar alıyor. GuardDuty bunu bir kaba kuvvet saldırısı olarak işaretliyor. Şirket bulguyu yanlış pozitif olarak işaretledi, ancak GuardDuty bunu oluşturmaya devam ediyor. Bir güvenlik mühendisi, meşru anormalliklere ilişkin görünürlükten ödün vermeden gürültüyü nasıl azaltabilir?

GuardDuty bastırma kuralları, belirli kriterleri karşılayan bulguları otomatik olarak arşivleyerek gürültüyü azaltmanın etkili bir yoludur. Bu, meşru FTP sunucusu trafiği gibi bilinen yanlış pozitifleri göz ardı ederken, GuardDuty'nin diğer anormallikleri tespit etmeye devam etmesini sağlar. FTP ile ilgili kuralı devre dışı bırakmak, gerçek saldırıları kaçırma riskini taşır. IP adresini güvenilir listeye eklemek, yalnızca o IP'den gelen tüm bulguları bastırır ve bu da diğer potansiyel tehditleri gözden kaçırmanıza neden olabilir. Lambda işlevi oluşturmak, bulguları silmek yerine arşivlemek daha iyi bir uygulamadır, çünkü silinen bulgular denetim izini kaybettirir ve gelecekteki incelemeler için kullanılamaz hale gelir.