Hayden.
Et bon retour.
Maintenant, dans la vidéo d'aujourd'hui, nous allons discuter d'un devoir de garde.
Maintenant, le service de garde a été l'un de mes services de sécurité préférés.
Et généralement, chaque fois que nous commençons à consulter dans l'organisation, en particulier celle qui a été violée,
c'est l'un des premiers services que nous avons activés.
Voyons donc pourquoi ce service s'avère très important dans le domaine de la sécurité.
Ainsi, l'aide de ce service de garde est un service de renseignement sur les menaces par ew.
S, qui surveille les comportements malveillants pour aider les clients à protéger leurs charges de travail de base de données.
Maintenant, vos deux mots sont très importants.
Le premier est la menace, et le second est le renseignement.
Ainsi, lorsque vous parlez de menace, la menace n'est pas seulement associée aux serveurs, mais elle est également associée
aux humains.
Ainsi, tout ce qui peut nuire à une entité particulière peut être considéré comme une menace.
Et l'intelligence est la façon dont vous pouvez percevoir une menace spécifique.
Maintenant, en parlant de service de garde, cela peut être mieux expliqué avec ce diagramme.
Lorsque vous avez un service de garde, le service de garde surveille essentiellement plusieurs fichiers journaux.
Il peut donc s'agir de la pertinence du cloud, il peut s'agir de journaux de flux VPC, il peut s'agir de journaux DNS.
Maintenant, une fois qu'il les surveille tous, il ira de l'avant et les analysera selon les règles qui ont été
configurées.
Et à partir de ceux-ci, il ira de l'avant et détectera les menaces.
Ainsi, la menace peut être détectée par bitcoin.
Vous avez l'exfiltration DNS, qui est une attaque très intéressante.
Vous avez trouvé des chevaux de Troie, vous avez la force brute et ainsi de suite.
Maintenant, généralement, d'après ce que j'ai vu, les organisations qui sont piratées de nos jours, l'une des premières choses que font
les attaquants, c'est qu'ils vont de l'avant et font du minage de Bitcoin là-bas.
Et si vous êtes en mesure de détecter l'extraction de Bitcoin au sein de vos serveurs organisationnels, il y a de fortes chances que les serveurs
soient piratés.
C'est donc l'une des règles importantes que j'ai vu se déclencher dans de nombreuses organisations.
Encore une fois, l'exfiltration DNS est également une attaque très intéressante où les données des serveurs sont envoyées
via les paquets DNS.
Maintenant, voici quelques exemples de règles ici.
Le devoir de garde prend en charge de nombreuses autres règles que nous examinerons dans un instant.
Voici donc un exemple de capture d'écran d'une constatation de service de garde.
Vous verrez donc qu'il existe de nombreuses découvertes telles que l'accès non autorisé, qui est associé
à la force brute RDP.
Vous avez le phishing, vous avez des alertes liées au Bitcoin, vous avez des alertes liées à la force brute.
Vous êtes associé aux deux escroqueries.
En particulier, lorsque quelqu'un effectue une énorme quantité d'analyses de ports avec des outils tels que IMAP, etc.
Voilà à quoi ressemble une alerte de garde.
Maintenant, si vous voyez que le devoir de garde classe les alertes en plusieurs résultats.
Ainsi, certains peuvent être critiques, certains peuvent être importants, certains peuvent être informatifs, etc.
Donc, ces résultats sont également catégorisés et, parallèlement à cela, certaines des choses sont associées à la ressource.
Ainsi, il vous montre également dans quelle ressource il a détecté des menaces liées à la crypto-monnaie.
Alors faisons une chose.
Passons rapidement à la console de service de garde afin que nous puissions comprendre comment cela fonctionnerait.
Il s'agit donc d'une console de service de garde et actuellement vous voyez que certaines alertes sont générées.
L'une des alertes est liée à l'utilisation des informations d'identification de l'itinéraire.
Ensuite, vous avez un port pro non protégé.
Généralement, si vous avez mal configuré votre pare-feu, alors vous avez une alerte intéressante liée
à la ligne client.
Si quelqu'un utilise Tor sur vos serveurs, ce type d'alerte est également détecté.
Ouvrons donc l'un d'entre eux ici et sur le côté droit, il vous donne essentiellement les informations qui s'y
rapportent.
Donc, si vous descendez un peu.
Ainsi, avec l'Inde, le type d'action est souligné pro et il vous montre les adresses IP qui ont effectué un certain
nombre d'analyses de ports sur votre serveur.
Et il vous montre également le pays d'où provient l'adresse IP d'origine.
Dans notre cas, c'est la Chine et cela vous montre également le FAI associé.
Il s'agit donc d'une grande quantité d'informations dont notre ingénieur en sécurité aurait vraiment besoin.
Maintenant, comme nous discutons du fait que le devoir de garde classe essentiellement les alertes en plusieurs niveaux de gravité.
Donc, si vous examinez l'alerte de gravité élevée, c'est celle qui est le client Tor, alors vous avez également
celle associée à une gravité moyenne.
Vous en avez également un associé à la faible gravité.
Encore une fois, une faible gravité ne signifie pas qu'aucune mesure ne doit être prise.
Ainsi, par exemple, ce port non protégé, c'est l'une des alertes sur lesquelles vous devez agir rapidement, cela signifie essentiellement
que quelque part vous avez ouvert de nombreux ports au sein de votre groupe de sécurité à travers lesquels
l'instance est exposée plus qu'elle ne devrait l'être ou Internet.
Ces types d'alertes vous permettent donc de prendre rapidement des mesures proactives.
Maintenant, vous pouvez également continuer et générer un exemple d'alertes au cas où vous voudriez voir quel genre de choses que le service
de garde peut détecter.
Alors faisons une chose.
Prenons un exemple d'une autre région où nous examinons comment le service de garde peut être activé et quelles sont les alertes.
Ainsi, lorsque vous effectuez un service de garde sur une nouvelle région, vous obtenez une console similaire à celle-ci.
Alors cliquons sur Commencer et tout ce que vous aurez à faire est d'activer le devoir de garde.
Maintenant, comme nous en parlions, le devoir de garde correspond essentiellement à l'autorisation d'analyser les journaux du
cloud, les journaux de flux VPC et les journaux de requêtes DNS pour générer les résultats de sécurité.
Alors allons-y et activons le service de garde ici.
Et c'est la seule chose qui est nécessaire.
Maintenant, le service de garde ira de l'avant et analysera les journaux dans cette région spécifique et générera des
alertes en conséquence.
Maintenant, vous pouvez également accéder aux paramètres ici.
Et il y a une option de recherche d'échantillon où vous pouvez aller de l'avant et générer une conclusion d'échantillon.
Alors faisons ça.
Et maintenant, si vous allez aux découvertes, vous verrez qu'il y a beaucoup de découvertes qui ont été répertoriées.
Encore une fois, les résultats sont classés en haut moyen ainsi qu'en bas.
Je vous encourage donc vraiment à examiner ces résultats de manière générale, car cela vous
permettra de détecter sur quel type d'attaques vous guidez et de détecter dans votre compte.
Maintenant, avant de conclure qu'un certain point important est que nous devons nous rappeler le premier,
c'est qu'un service de garde ne surveillera que Route 53 pour les journaux DNS.
Ceci est très important ici car ce qui se passe, c'est que de nombreuses organisations utilisent
encore Active Directory pour le DNS et les journaux de ces serveurs ne seront pas surveillés.
Donc, fondamentalement, disons que vous avez des attaques comme l'exfiltration DNS qui est associée à Active Directory,
alors le devoir de garde ne vous montrera pas vraiment d'alertes ici.
C'est donc une partie importante à retenir.
Maintenant, en fait, vous pouvez dire que c'est une lacune du devoir de garde et que beaucoup d'organisations qui
utilisent des serveurs DNS personnalisés ne pourront pas voir beaucoup de choses ici.
Donc, ce que font beaucoup d'entreprises, c'est qu'elles utilisent des solutions commerciales comme Splunk Enterprise Security, qui est encore
une fois une excellente solution et qui dispose également de renseignements sur les menaces.
Ainsi, lorsque vous utilisez nos outils commerciaux comme Splunk ou d'autres, l'avantage est que vous n'êtes pas vraiment
coincé avec les limitations d'un service spécifique.
Ainsi, si vous utilisez Splunk ou même tout autre outil, il peut détecter les attaques d'exfiltration DNS et d'autres
attaques, même si vous utilisez le DNS Active Directory.
C'est donc un avantage.
Deuxième avantage, comme nous l'avons vu, ce service de garde ne prend pas en compte tous les logs.
Il faut donc le cloud, le rail, les logs de flux VPC, les logs DNS.
Il ne prend pas en compte les logs associés à l'instance AC two.
Il peut donc s'agir des journaux d'audit, des journaux sauvages, sécurisés et autres.
Il existe donc un nombre limité de journaux dans lesquels le service de garde tentera d'effectuer les aspects liés aux renseignements
sur les menaces.
J'espère donc qu'à un niveau élevé, vous avez compris ce qu'est le service de garde.
Maintenant, encore une fois, même si le service de garde ne surveille pas beaucoup de fichiers journaux, mais les fichiers
journaux qu'il surveille, cela vous donne beaucoup d'informations sur les menaces potentielles, car dans de nombreuses organisations, j'ai
activé le service de garde et cela vous donne une énorme quantité d'informations et vous pouvez rapidement vous concentrer
sur le serveur qui aurait été compromis.
Or, l'un des inconvénients des solutions commerciales est qu'elles sont très coûteuses et qu'il faut
aussi beaucoup de temps pour la configurer.
Donc, le devoir de garde, comme nous l'avons vu, ne prend qu'un clic et tout est pour vous.
Voilà donc l'aperçu du service de garde.
Nous examinons les avantages, nous examinons également les inconvénients du service.
Et encore une fois, je vous encouragerais vraiment à aller de l'avant et à activer un service de garde au sein de votre organisation.
Et je suis sûr que vous verrez beaucoup d'alertes intéressantes dans vos comptes.
Donc avec ceci conclura cette vidéo, j'espère que cette vidéo a été informative pour vous et j'ai hâte de vous
voir dans la prochaine vidéo.