Hayden.
E bem-vindo de volta.
Agora, no vídeo de hoje, falaremos sobre um dever de guarda.
Agora é dever de guarda tem sido um dos meus serviços de segurança favoritos.
E geralmente, sempre que começamos a consultoria na organização, especificamente aquela que foi violada,
esse é um dos primeiros serviços que habilitamos.
Vejamos, então, por que esse serviço se mostra muito importante na área de segurança.
Portanto, o auxílio desse serviço de guarda é um serviço de inteligência de ameaças da e w.
S, que monitora o comportamento malicioso para ajudar o cliente a proteger suas cargas de trabalho de banco de dados.
Agora, suas duas palavras são muito importantes.
A primeira é a ameaça e a segunda é a inteligência.
Portanto, quando você discute sobre ameaça, a ameaça não está associada apenas aos servidores, mas também
aos humanos.
Portanto, qualquer coisa que possa ser prejudicial a uma determinada entidade pode ser considerada uma ameaça.
E a inteligência é a maneira pela qual você pode perceber uma ameaça específica.
Agora, falando sobre o dever de guarda, isso pode ser melhor explicado com este diagrama.
Quando você tem um serviço de guarda, agora o serviço de guarda basicamente monitora vários arquivos de log.
Portanto, pode ser relevância na nuvem, pode ser logs de fluxo de VPC, pode ser logs de DNS.
Agora, uma vez que monitore todos eles, ele irá em frente e analisará de acordo com as regras que foram
configuradas.
E a partir deles, ele seguirá em frente e detectará ameaças.
Portanto, a ameaça pode ser detectada pelo bitcoin.
Você tem exfiltração de DNS, que é um ataque muito interessante.
Você tem Trojans encontrados, você tem força bruta e assim por diante.
Agora, geralmente, pelo que tenho visto, as organizações que são violadas hoje em dia, uma das primeiras coisas
que os invasores fazem é ir em frente e fazer mineração de Bitcoin lá.
E se você conseguir detectar a mineração de Bitcoin em seus servidores organizacionais, é provável que os servidores
sejam violados.
Portanto, esta é uma das regras importantes que tenho visto sendo acionadas em muitas organizações.
Novamente, a exfiltração de DNS também é um ataque muito interessante, onde os dados dos servidores são enviados através
dos pacotes DNS.
Agora, estas são algumas regras de exemplo aqui.
O dever de guarda suporta muitas outras regras que veremos em um momento.
Então, aqui está uma captura de tela de amostra de uma descoberta de serviço de guarda.
Portanto, você verá que há muitas descobertas, como acesso não autorizado, associado
à força bruta do RDP.
Você tem o phishing, você tem alertas relacionados ao Bitcoin, você tem alertas relacionados à força bruta.
Você se associou a ambos os golpes.
Especificamente quando alguém está fazendo uma grande quantidade de varredura de portas com ferramentas como IMAP e assim por diante.
Então é assim que se parece um alerta de serviço de guarda.
Agora, se você vir que o dever de guarda categoriza os alertas em várias descobertas.
Então, alguns podem ser críticos, alguns podem ser importantes, alguns podem ser informativos e assim por diante.
Portanto, essas descobertas também são categorizadas e, junto com isso, algumas das coisas estão associadas ao recurso.
Portanto, também mostra em qual recurso detectou ameaças relacionadas a criptomoedas.
Então vamos fazer uma coisa.
Vamos pular rapidamente para o console de serviço de guarda para que possamos entender como isso funcionaria.
Portanto, este é um console de serviço de guarda e atualmente você vê que existem certos alertas que são gerados.
Um dos alertas está relacionado ao uso de credenciais de rota.
Então você tem uma porta desprotegida pro.
Geralmente, se você configurou incorretamente seu firewall, você tem um alerta interessante relacionado
à linha do cliente.
Se alguém estiver usando o Tor em seus servidores, esse tipo de alerta também será detectado.
Então, vamos abrir um deles aqui e no lado direito ele basicamente fornece as informações relacionadas
a ele.
Então, se você descer um pouco.
Assim, com a Índia, o tipo de ação é colocado sublinhado pro e mostra os endereços IP que estão fazendo uma certa quantidade
de varreduras de porta em seu servidor.
E também mostra o país de origem do IP de origem.
No nosso caso, é a China e também mostra o ISP associado.
Portanto, essa é uma grande quantidade de informações que nosso engenheiro de segurança realmente precisaria.
Agora, como estamos discutindo, o dever de guarda basicamente categoriza os alertas em várias gravidades.
Então, se você olhar para o alerta de alta gravidade, este é o que é o cliente Tor, então você também tem
o associado a uma gravidade média.
Você também tem um associado à baixa gravidade.
Agora, novamente, baixa gravidade não significa que nenhuma ação precisa ser tomada.
Então, por exemplo, esta porta desprotegida, este é um dos alertas sobre os quais você precisa agir rapidamente, isso basicamente
significa que em algum lugar você abriu muitas portas dentro do seu grupo de segurança através
das quais a instância é exposta mais do que deveria ou a Internet.
Portanto, esses tipos de alertas são uma maneira pela qual você pode executar rapidamente uma ação proativa.
Agora, você também pode ir em frente e gerar alertas de amostra caso queira ver que tipo de coisas o serviço de
guarda pode detectar.
Então vamos fazer uma coisa.
Vamos dar um exemplo de outra região onde analisamos como o serviço de guarda pode ser ativado e quais são os alertas.
Então, quando você faz um serviço de guarda em uma nova região, você obtém um console semelhante a este.
Então vamos clicar em Começar e tudo o que você precisa fazer é habilitar o serviço de guarda.
Agora, como estávamos discutindo, o dever de guarda basicamente atende à permissão para analisar logs de nuvem,
logs de fluxo de VPC e logs de consulta DNS para gerar as descobertas de segurança.
Então vamos em frente e habilitar o serviço de guarda aqui.
E essa é a única coisa que é necessária.
Agora, o serviço de guarda irá em frente e analisará os logs nessa região específica e gerará
alertas de acordo.
Agora, você também pode ir para as configurações aqui.
E há uma opção de descoberta de amostra onde você pode ir adiante e gerar uma descoberta de amostra.
Então vamos fazer isso.
E agora, se você for às descobertas, verá que há muitas descobertas listadas.
Então, novamente, os resultados são categorizados em médio alto e baixo.
Então, eu realmente encorajo você a analisar essas descobertas em uma visão geral de alto nível, porque
isso permitirá que você detecte que tipo de guia de ataques você realiza e detecta em sua conta.
Agora, antes de concluirmos que um certo ponto importante é que precisamos lembrar que o primeiro
é que um dever de guarda monitorará apenas a Rota 53 para os logs de DNS.
Isso é muito importante aqui porque o que acontece é que muitas organizações ainda fazem
uso do Active Directory para o DNS e os logs desses servidores não serão monitorados.
Então, basicamente, digamos que você tenha ataques como DNS Exfiltration, que está associado ao Active
Directory, então o dever de guarda não mostrará nenhum alerta aqui.
Portanto, esta é uma parte importante a ser lembrada.
Agora, de fato, você pode dizer que é uma falha do dever de guarda e muitas organizações que estão fazendo
uso de servidores DNS personalizados, não poderão ver muitas coisas aqui.
Então, o que muitas das empresas que fazem é usar soluções comerciais como o Splunk Enterprise Security, que
novamente é uma ótima solução e também possui inteligência contra ameaças.
Então, quando você usa nossas ferramentas comerciais como Splunk ou qualquer outra, o benefício é que você não está
realmente preso às limitações de um serviço específico.
Portanto, se você estiver usando o Splunk ou qualquer outra ferramenta, ele poderá detectar ataques de exfiltração de DNS e outros
ataques, mesmo se você estiver usando o DNS do Active Directory.
Então essa é uma vantagem.
A segunda vantagem é que, como vimos, esse serviço de guarda não leva em consideração todos os logs.
Portanto, são necessários logs de fluxo de nuvem, ferroviário, VPC, logs DNS.
Ele não leva em consideração os logs associados à instância AC dois.
Assim podem ser os logs de auditoria, os logs selvagens, seguros e outros.
Portanto, há logs limitados nos quais o dever de guarda tentará executar os aspectos relacionados à inteligência
de ameaças.
Então, espero que em uma visão geral de alto nível você tenha entendido o que é o serviço de guarda.
Agora, novamente, embora o dever de guarda não monitore muitos arquivos de log, mas os arquivos de log que
ele monitora, ele fornece muitas informações sobre as ameaças potenciais, porque em muitas organizações, eu habilitei
o dever de guarda e fornece uma enorme quantidade de informações e você pode rapidamente chegar ao servidor
que teria sido comprometido.
Agora, uma das desvantagens das soluções comerciais é que elas são muito caras e também demoram
muito para serem configuradas.
Portanto, o dever de guarda, como vimos, leva apenas um clique e está tudo pronto para você.
Então essa é a visão geral sobre o dever de guarda.
Nós olhamos para as vantagens, nós olhamos para as desvantagens do serviço também.
E, novamente, eu realmente o encorajo a ir em frente e habilitar um dever de guarda dentro de sua organização.
E tenho certeza de que você verá muitos alertas interessantes em suas contas.
Então com isso concluiremos este vídeo, espero que este vídeo tenha sido informativo para você e
espero vê-lo no próximo vídeo.