Hayden.
Und willkommen zurück.
Nun, im heutigen Video werden wir über einen Wachdienst sprechen.
Jetzt ist der Wachdienst einer meiner Lieblingssicherheitsdienste.
Und im Allgemeinen ist dies einer der ersten Dienste, die wir aktiviert haben, wenn wir mit der Beratung in der Organisation
beginnen, insbesondere in der Organisation, die verletzt wurde.
Schauen wir uns also an, warum sich dieser Dienst im Sicherheitsbereich als sehr wichtig erweist.
Die Hilfe dieses Wachdienstes ist also ein Bedrohungsnachrichtendienst von e w.
S, das auf schädliches Verhalten überwacht, um Kunden beim Schutz ihrer Datenbank-Workloads zu unterstützen.
Nun, Ihre beiden Worte sind sehr wichtig.
Das erste ist Bedrohung und das zweite ist Intelligenz.
Wenn Sie also über Bedrohung sprechen, wird Bedrohung nicht nur mit Servern in Verbindung gebracht, sondern
auch mit Menschen.
Alles, was für eine bestimmte Entität schädlich sein kann, kann also als Bedrohung angesehen werden.
Und Intelligenz ist die Art und Weise, wie Sie eine bestimmte Bedrohung wahrnehmen können.
Apropos Wachdienst, das lässt sich mit diesem Diagramm besser erklären.
Wenn Sie einen Wachdienst haben, überwacht der Wachdienst jetzt im Grunde mehrere Protokolldateien.
Es kann also Cloud-Relevanz sein, es können VPC-Flussprotokolle sein, es können DNS-Protokolle sein.
Sobald es alle überwacht hat, wird es fortfahren und sie gemäß den konfigurierten Regeln analysieren.
Und von diesen wird es weitergehen und Bedrohungen erkennen.
So kann Bitcoin erkannt werden.
Sie haben DNS-Exfiltration, was ein sehr interessanter Angriff ist.
Sie haben Trojaner gefunden, Sie haben Brute Force und so weiter.
Nun, nach dem, was ich gesehen habe, ist eines der ersten Dinge, die Angreifer tun, die Organisationen, die heutzutage
verletzt werden, dass sie dort Bitcoin-Mining betreiben.
Und wenn Sie in der Lage sind, Bitcoin-Mining auf Ihren Unternehmensservern zu erkennen, besteht die Möglichkeit, dass die Server
verletzt werden.
Das ist also eine der wichtigen Regeln, die meiner Meinung nach in vielen Organisationen ausgelöst werden.
Auch hier ist die DNS-Exfiltration ein sehr interessanter Angriff, bei dem die Daten der Server über die DNS-Pakete
gesendet werden.
Dies sind nun einige Beispielregeln hier drüben.
Die Wachpflicht unterstützt viele andere Regeln, die wir uns gleich ansehen werden.
Hier ist also ein Beispiel-Screenshot eines Wachdienstbefunds.
Sie werden also sehen, dass es viele Erkenntnisse wie unbefugten Zugriff gibt, der mit der RDP-Brute-Force
verbunden ist.
Sie haben das Phishing, Sie haben Bitcoin-bezogene Warnungen, Sie haben Brute-Force-bezogene Warnungen.
Sie haben mit beiden Betrügereien in Verbindung gebracht.
Insbesondere, wenn jemand eine große Menge an Port-Scans mit Tools wie IMAP usw. durchführt.
So sieht also ein Wachdienstalarm aus.
Wenn Sie nun sehen, dass die Wachpflicht die Warnungen in mehrere Ergebnisse kategorisiert.
Einige können also kritisch sein, einige können wichtig sein, einige können informativ sein und so weiter.
Also werden auch diese Funde kategorisiert und einige der Dinge mit der Ressource in Verbindung gebracht.
Es zeigt Ihnen also auch, in welcher Ressource es Bedrohungen im Zusammenhang mit Kryptowährungen entdeckt hat.
Also lasst uns eine Sache tun.
Lassen Sie uns schnell in die Wachdienstkonsole springen, damit wir verstehen, wie das funktionieren würde.
Das ist also eine Wachdienstkonsole und derzeit sehen Sie, dass bestimmte Warnungen generiert werden.
Eine der Warnungen bezieht sich auf die Verwendung von Anmeldeinformationen für die Route.
Dann haben Sie einen ungeschützten Pro-Port.
Wenn Sie Ihre Firewall falsch konfiguriert haben, erhalten Sie im Allgemeinen eine interessante Warnung in Bezug auf
die Client-Leitung.
Wenn jemand Tor auf Ihren Servern verwendet, wird diese Art von Warnung ebenfalls erkannt.
Öffnen wir also einen davon hier drüben und auf der rechten Seite erhalten Sie im Grunde die dazugehörigen Informationen.
Also, wenn Sie ein bisschen nach unten gehen.
Bei Indien wird der Aktionstyp also unterstrichen pro gesetzt und zeigt Ihnen die IP-Adressen, die eine bestimmte Anzahl von
Port-Scans auf Ihrem Server durchgeführt haben.
Und es zeigt Ihnen auch das Land, aus dem die Ursprungs-IP stammt.
In unserem Fall ist es China und es zeigt Ihnen auch den zugehörigen ISP an.
Das sind also viele Informationen, die unser Sicherheitsingenieur wirklich brauchen würde.
Nun, da wir darüber sprechen, dass die Wachpflicht die Warnungen grundsätzlich in mehrere Schweregrade einteilt.
Wenn Sie sich also den Alarm mit hohem Schweregrad ansehen, ist dies der Tor-Client, dann haben Sie auch den
Alarm mit mittlerem Schweregrad.
Sie haben auch einen, der mit dem niedrigen Schweregrad verbunden ist.
Auch hier bedeutet ein niedriger Schweregrad nicht, dass keine Maßnahmen ergriffen werden müssen.
Also zum Beispiel dieser ungeschützte Port, das ist eine der Warnungen, auf die Sie schnell reagieren müssen, das bedeutet im Grunde,
dass Sie irgendwo viele Ports innerhalb Ihrer Sicherheitsgruppe geöffnet haben, durch die die
Instanz mehr ausgesetzt ist, als es sein sollte oder das Internet.
Diese Art von Warnungen sind also eine Möglichkeit, schnell proaktiv zu handeln.
Jetzt können Sie auch Musterwarnungen generieren, falls Sie sehen möchten, welche Art von Dingen der Wachdienst
erkennen kann.
Also lasst uns eine Sache tun.
Nehmen wir ein Beispiel aus einer anderen Region, in der wir untersuchen, wie der Wachdienst aktiviert werden kann und was die Warnungen
sind.
Wenn Sie also einen Wachdienst in einer neuen Region absolvieren, erhalten Sie eine ähnliche Konsole.
Klicken wir also auf „Erste Schritte“ und alles, was Sie tun müssen, ist, den Wachdienst zu aktivieren.
Nun, wie wir besprochen haben, erfüllt die Wachpflicht grundsätzlich die Erlaubnis, Cloud-Protokolle, VPC-Flussprotokolle
und DNS-Abfrageprotokolle zu analysieren, um die Sicherheitsergebnisse zu generieren.
Also machen wir weiter und aktivieren den Wachdienst hier drüben.
Und das ist das einzige, was benötigt wird.
Jetzt wird der Wachdienst die Protokolle in dieser bestimmten Region analysieren und entsprechende Warnungen
generieren.
Jetzt können Sie auch hier zu den Einstellungen gehen.
Und es gibt eine Option zur Probenfindung, bei der Sie fortfahren und eine Probenfindung erstellen können.
Also lass uns das tun.
Und jetzt, wenn Sie zu Befunden gehen, werden Sie sehen, dass es viele Befunde gibt, die aufgelistet wurden.
Auch hier werden die Ergebnisse in hoch mittel und niedrig kategorisiert.
Ich würde Sie also wirklich ermutigen, sich diese Ergebnisse auf einer allgemeinen Übersicht anzusehen,
da Sie so erkennen können, welche Art von Angriffen Sie ausführen und in Ihrem Konto erkennen.
Bevor wir nun zu dem Schluss kommen, dass ein bestimmter wichtiger Punkt ist, müssen wir uns daran erinnern,
dass ein Wachdienst Route 53 nur auf die DNS-Protokolle überwacht.
Dies ist hier sehr wichtig, da viele Organisationen immer noch Active Directory
für das DNS verwenden und die Protokolle von diesen Servern nicht überwacht werden.
Nehmen wir also im Grunde an, dass Sie Angriffe wie DNS-Exfiltration haben, die mit dem Active Directory verbunden sind,
dann zeigt Ihnen die Wachpflicht hier nicht wirklich irgendwelche Warnungen.
Dies ist also ein wichtiger Teil, an den Sie sich erinnern sollten.
Nun, das kann man tatsächlich sagen, dass es ein Mangel der Wachpflicht ist und viele Organisationen, die benutzerdefinierte
DNS-Server verwenden, sie werden nicht in der Lage sein, viele Dinge hier drüben zu sehen.
Viele der Unternehmen nutzen also kommerzielle Lösungen wie Splunk Enterprise Security, was wiederum eine
großartige Lösung ist und auch über Bedrohungsinformationen verfügt.
Wenn Sie also unsere kommerziellen Tools wie Splunk oder andere verwenden, besteht der Vorteil darin, dass Sie nicht wirklich an
die Einschränkungen eines bestimmten Dienstes gebunden sind.
Wenn Sie also Splunk oder sogar ein anderes Tool verwenden, kann es DNS-Exfiltrationsangriffe und andere Angriffe
erkennen, selbst wenn Sie das Active Directory-DNS verwenden.
Das ist also ein Vorteil.
Der zweite Vorteil besteht darin, dass, wie wir gesehen haben, diese Wachpflicht nicht alle Protokolle berücksichtigt.
Es braucht also Cloud-, Rail-, VPC-Flussprotokolle, DNS-Protokolle.
Es berücksichtigt nicht die Protokolle, die der AC-Zwei-Instanz zugeordnet sind.
Es können also die Audit-Logs, die Wild-Logs, Secure und andere sein.
Es gibt also begrenzte Protokolle, in denen die Wache versuchen wird, die Aspekte im Zusammenhang mit der Bedrohungsaufklärung
auszuführen.
Ich hoffe also, dass Sie auf hohem Niveau verstanden haben, was Wachdienst ist.
Auch wenn der Wachdienst nicht viele Protokolldateien, sondern die überwachten Protokolldateien überwacht,
erhalten Sie viele Einblicke in die potenziellen Bedrohungen, da ich in vielen Organisationen den Wachdienst aktiviert
habe und es gibt Ihnen eine riesige Menge an Einblicken und Sie können schnell den Server aufrunden, der
kompromittiert worden wäre.
Einer der Nachteile kommerzieller Lösungen ist nun, dass sie sehr teuer sind und auch viel
Zeit für die Konfiguration benötigen.
Der Wachdienst, wie wir gesehen haben, dauert also nur einen Klick und alles ist für Sie erledigt.
Das ist also der Überblick über den Wachdienst.
Wir untersuchen die Vorteile, wir untersuchen auch die Nachteile des Dienstes.
Und noch einmal möchte ich Sie wirklich ermutigen, einen Wachdienst in Ihrer Organisation zu ermöglichen.
Und ich bin sicher, dass Sie viele interessante Benachrichtigungen in Ihren Konten sehen werden.
Damit wird dieses Video abgeschlossen. Ich hoffe, dieses Video war informativ für Sie und ich freue mich darauf,
Sie im nächsten Video zu sehen.