Hayden.
Y bienvenido de nuevo.
Ahora, en el video de hoy, hablaremos sobre el deber de guardia.
Ahora su guardia ha sido uno de mis servicios de seguridad favoritos.
Y generalmente, cada vez que comenzamos a consultar en la organización, específicamente la que ha sido violada,
este es uno de los primeros servicios que habilitamos.
Entonces, veamos por qué este servicio resulta ser tan importante en el área de seguridad.
Entonces, la ayuda de este deber de guardia es un servicio de inteligencia de amenazas de e w.
S, que supervisa el comportamiento malicioso para ayudar al cliente a proteger las cargas de trabajo de su base de datos.
Ahora, tus dos palabras son muy importantes.
El primero es amenaza, y el segundo es inteligencia.
Entonces, cuando habla sobre amenazas, la amenaza no solo está asociada con los servidores, sino también
con los humanos.
Entonces, cualquier cosa que pueda ser perjudicial para una entidad en particular puede considerarse una amenaza.
Y la inteligencia es la forma en que puedes percibir una amenaza específica.
Ahora, hablando del deber de guardia, esto se puede explicar mejor con este diagrama.
Cuando tiene un servicio de guardia, ahora el servicio de guardia básicamente monitorea múltiples archivos de registro.
Por lo tanto, puede ser relevante para la nube, pueden ser registros de flujo de VPC, pueden ser registros de DNS.
Ahora, una vez que los monitoree a todos, continuará y los analizará de acuerdo con las reglas que se han
configurado.
Y a partir de estos, seguirá adelante y detectará amenazas.
Entonces la amenaza puede ser detectada por bitcoin.
Tiene exfiltración de DNS, que es un ataque muy interesante.
Tiene troyanos encontrados, tiene fuerza bruta, etc.
Ahora, en general, por lo que he visto, las organizaciones que son violadas hoy en día, una de las primeras cosas que
hacen los atacantes es seguir adelante y hacer minería de Bitcoin allí.
Y si puede detectar la minería de Bitcoin dentro de los servidores de su organización, es probable que los servidores
estén violados.
Entonces, esta es una de las reglas importantes que he visto que se activan en muchas organizaciones.
Una vez más, la exfiltración de DNS también es un ataque muy interesante en el que los datos de los servidores se envían a través de
los paquetes de DNS.
Ahora estas son algunas reglas de muestra aquí.
El deber de guardia admite muchas otras reglas que veremos en un momento.
Así que aquí hay una captura de pantalla de muestra de un hallazgo de servicio de guardia.
Entonces verá que hay muchos hallazgos como el acceso no autorizado, que está asociado con
la fuerza bruta de RDP.
Tienes el phishing, tienes alertas relacionadas con Bitcoin, tienes alertas relacionadas con la fuerza bruta.
Se ha asociado con ambas estafas.
Específicamente cuando alguien está haciendo una gran cantidad de escaneo de puertos con herramientas como IMAP, etc.
Así es como se ve una alerta de servicio de guardia.
Ahora, si ve que el servicio de guardia clasifica las alertas en múltiples hallazgos.
Entonces, algunos pueden ser críticos, algunos pueden ser importantes, algunos pueden ser informativos, etc.
Entonces, estos hallazgos también se clasifican y, junto con eso, algunas de las cosas están asociadas con el recurso.
Por lo tanto, también le muestra en qué recurso ha detectado amenazas relacionadas con criptomonedas.
Así que hagamos una cosa.
Pasemos rápidamente a la consola de servicio de guardia para que podamos entender cómo funcionaría esto.
Así que esta es una consola de servicio de guardia y actualmente ve que se generan ciertas alertas.
Una de las alertas está relacionada con el uso de credenciales de ruta.
Entonces tienes un puerto pro desprotegido.
Generalmente, si ha configurado mal su firewall, entonces tiene una alerta interesante relacionada con
la línea del cliente.
Si alguien está usando Tor dentro de sus servidores, también se detecta ese tipo de alerta.
Así que abramos uno de ellos aquí y en el lado derecho básicamente te da la información relacionada
con él.
Así que si bajas un poco.
Entonces, con India, el tipo de acción se pone subrayado profesional y le muestra las direcciones IP que han estado realizando una
cierta cantidad de escaneos de puertos en su servidor.
Y también te muestra el país de donde proviene la IP de origen.
En nuestro caso es China y además te muestra el ISP asociado.
Esta es una gran cantidad de información que nuestro ingeniero de seguridad realmente necesitaría.
Ahora, como estamos discutiendo, el deber de guardia básicamente clasifica las alertas en gravedad múltiple.
Entonces, si observa la alerta de gravedad alta, esta es la que es cliente Tor, entonces también tiene
la asociada con una gravedad media.
También tienes uno asociado a la gravedad baja.
Ahora, nuevamente, baja severidad no significa que no se deba tomar ninguna acción.
Entonces, por ejemplo, este puerto desprotegido, esta es una de las alertas sobre las que debe actuar rápidamente, eso básicamente significa
que en algún lugar ha abierto muchos puertos dentro de su grupo de seguridad a través de los cuales la
instancia está expuesta más de lo que debería estar o Internet.
Entonces, este tipo de alertas son una forma en la que puede tomar una acción proactiva rápidamente.
Ahora, también puede seguir adelante y generar alertas de muestra en caso de que desee ver qué tipo de cosas puede detectar
el servicio de guardia.
Así que hagamos una cosa.
Tomemos un ejemplo de otra región donde observamos cómo se puede habilitar el servicio de guardia y cuáles son las alertas.
Entonces, cuando realice un servicio de guardia en una nueva región, obtendrá una consola similar a esta.
Entonces, hagamos clic en Comenzar y todo lo que tendrá que hacer es habilitar el servicio de guardia.
Ahora, como comentábamos, el deber de guardia básicamente cumple con el permiso para analizar registros en la nube, registros
de flujo de VPC y registros de consultas de DNS para generar los hallazgos de seguridad.
Así que sigamos adelante y habilitemos el servicio de guardia aquí.
Y eso es lo único que se necesita.
Ahora, el servicio de guardia seguirá adelante y analizará los registros dentro de esta región específica y generará alertas
en consecuencia.
Ahora, también puede ir a la configuración aquí.
Y hay una opción de búsqueda de muestras en la que puede continuar y generar una búsqueda de muestras.
Así que hagamos eso.
Y ahora, si va a hallazgos, verá que hay muchos hallazgos que se han enumerado.
Entonces, nuevamente, los hallazgos se clasifican en medio alto y bajo.
Por lo tanto, realmente lo alentaría a que investigue estos hallazgos en una descripción general de alto
nivel, ya que esto le permitirá detectar qué tipo de guía de ataques toma y detecta dentro de su cuenta.
Ahora, antes de concluir que un cierto punto importante es que debemos recordar que el primero es que un
servicio de guardia solo monitoreará la Ruta 53 para los registros de DNS.
Esto es muy importante aquí porque lo que sucede es que muchas organizaciones aún usan
Active Directory para el DNS y los registros de estos servidores no se monitorearán.
Entonces, básicamente, digamos que tiene ataques como Exfiltración de DNS que está asociado con Active Directory,
entonces el servicio de guardia realmente no le mostrará ninguna alerta aquí.
Así que esta es una parte importante para recordar.
Ahora, de hecho, puede decir que es una deficiencia del servicio de guardia y muchas organizaciones
que utilizan servidores DNS personalizados, no podrán ver muchas cosas aquí.
Entonces, lo que hacen muchas de las empresas es que utilizan soluciones comerciales como Splunk Enterprise Security,
que nuevamente es una gran solución y también tiene inteligencia de amenazas.
Entonces, cuando usa nuestras herramientas comerciales como Splunk o cualquier otra, el beneficio es que no está realmente
atascado con las limitaciones de un servicio específico.
Entonces, si está utilizando Splunk o incluso cualquier otra herramienta, puede detectar ataques de exfiltración de DNS y otros
ataques, incluso si está utilizando el DNS de Active Directory.
Así que esa es una ventaja.
La segunda ventaja es que, como hemos visto, ese turno de guardia no tiene en cuenta todos los registros.
Por lo tanto, se necesitan registros de flujo de VPC, registros de flujo de VPC, registros de DNS.
No tiene en cuenta los registros asociados con la instancia de AC dos.
Entonces pueden ser los registros de auditoría, los registros salvajes, seguros y otros.
Por lo tanto, hay registros limitados en los que el servicio de guardia intentará realizar los aspectos relacionados con la inteligencia
de amenazas.
Así que espero que en una descripción general de alto nivel haya entendido qué es el servicio de guardia.
Ahora, nuevamente, a pesar de que el servicio de guardia no monitorea muchos archivos de registro, pero los archivos
de registro que monitorea, le brinda mucha información sobre las amenazas potenciales, porque en muchas organizaciones he habilitado
el servicio de guardia. y le brinda una gran cantidad de información y puede redondear rápidamente al servidor que
se habría visto comprometido.
Ahora bien, una de las desventajas de las soluciones comerciales es que son muy caras y además
lleva mucho tiempo configurarlas.
Así que el deber de guardia, como lo hemos visto, solo requiere un clic y todo depende de ti.
Esa es la descripción general sobre el servicio de guardia.
Analizamos las ventajas, también analizamos las desventajas del servicio.
Y nuevamente, realmente lo alentaría a que siga adelante y habilite un deber de guardia dentro de su organización.
Y seguro que verás muchas alertas interesantes en tus cuentas.
Entonces, con esto concluirá este video, espero que este video haya sido informativo para usted y espero
verlo en el próximo video.