הסבר על AWS GuardDuty
חלק 1

בלי כתוביותעם כתוביות

מילון מושגים:

AWS - שירותי הענן של אמזון (Amazon Web Services), המספקים שרתים, אחסון, מסדי נתונים ושירותים נוספים לפי שימוש.

מערכת הפעלה - התוכנה הבסיסית שמנהלת את חומרת המחשב ומשאביו ומריצה את שאר התוכנות, למשל Windows או Linux.

IDS - מערכת לזיהוי חדירות שמנטרת תעבורת רשת או מערכת ומתריעה על פעילות חשודה.

למידת מכונה - ענף של בינה מלאכותית שבו מערכות לומדות דפוסים מתוך נתונים ומשתפרות בלי שתוכנתו במפורש לכל מקרה.

SSH - פרוטוקול לחיבור מרוחק ומוצפן למחשב, בעיקר לשרתי Linux, לצורך ניהול דרך שורת הפקודה.

אחסון - שמירת נתונים באופן קבוע על התקנים כמו דיסקים או שירותי ענן, כך שיישמרו גם לאחר כיבוי.

DoS - מתקפת מניעת שירות: הצפת שירות בבקשות כדי להעמיס עליו ולמנוע ממשתמשים לגיטימיים לקבל אותו.

UDP - פרוטוקול תקשורת מהיר ללא אישור קבלה, המתאים לשידורי וידאו, קול ומשחקים שבהם מהירות חשובה מאמינות.

הסבר על AWS GuardDuty חלק 1

בשיעור זה אנו נכנסים לנושא האבטחה בענן, מכירים את שירות הזיהוי החדירות של AWS, מפעילים אותו בחשבון הפרודקשן באזור הרלוונטי, ולומדים מה הוא מנטר, אילו איומים הוא מזהה וכיצד מתמודדים עם ההתרעות.

נושאי הסיכום המוצגים בשיעור:

1. ההקשר של הפרק: קיימת רשימה ארוכה מאוד של דברים שאפשר לעשות בנושא אבטחת המידע ב-AWS, ואנחנו מתחילים ברשימת ההמלצות הקשורות להגנה על החשבון עצמו, החשבון שבו יש לכם מערכות הפעלה, מסדי נתונים, נתונים ורשתות.

2. הדבר הבסיסי ביותר, אימות דו שלבי ל-Root: הדבר הבסיסי ביותר שרוצים לעשות הוא לדאוג שלמשתמש הראשי, אותו כתובת אימייל שאיתה נכנסים לחשבון הענן, יוגדר אימות דו שלבי, ואני יוצא מהנחה שעשיתם זאת.

3. השירות החשוב שיש להפעיל: השירות החשוב הבא שיש להפעיל הוא שירות הזיהוי החדירות של AWS, מערכת IDS, מערכת של זיהוי חדירות, והיופי בה הוא שהפעלתה היא בקליק אחד, סתם סימון תיבה, והמערכת מתחילה לעבוד.

4. מה הוא מסתכל על: המערכת מסתכלת בתוך החשבון שלכם על כל היומנים של שירות התיעוד של הפעולות, על יומני זרימת הרשת, על כל תעבורת הרשת בתוך החשבון, על כל בקשות ה-DNS שיוצאות מתוך החשבון, יודעת להסתכל על מכונות לינוקס ווינדוס ולבדוק אם יש עליהן נוזלות, ובעזרת למידת מכונה ושירותים נוספים של AWS היא יודעת לספר לכם אם יש משהו חשוד ברמת חשד או משהו שהוא ממש בעיה.

5. שירות שחייבים להפעיל: אני אומר לכם שזה אחד הדברים שאתם חייבים להפעיל בחשבון, בטח ובטח בחשבון הפרודקשן, אבל מבחינתי בכל חשבון.

6. שלושים יום חינם: חשוב להבין שמקבלים שלושים יום של ניסיון חינם, ולמה זה חשוב, כי בשלושים הימים האלה תוכלו לראות בערך כמה יעלה לכם השירות אם תמשיכו לעבוד איתו, וזה חשוב מכיוון שקשה לעשות הערכה מראש כמה יעלה, כיוון שזה קשור מאוד לכמות התעבורה, הלקוחות, המכונות ומסדי הנתונים שיש לכם, ואני אומר לכם בוודאות שתרצו להישאר איתה.

7. מה הוא מזהה: הוא מגן על החשבונות שלכם בזיהוי איומים חכם, והאיומים יכולים להיות נוזלה באחת המכונות, מכונה שהשתלטו עליה והפכה לבוט שפוגע במחשבים אחרים באינטרנט, כריית ביטקוין שמישהו שהחדיר לחשבון מריץ, חדירה ב-SSH או בשולחן עבודה מרוחק, וקיימות מעל מאה ומשהו התרעות או בעיות שקשורות לאבטחת מידע, והרשימה הזאת כל הזמן גדלה.

8. זיהוי ולא מניעה: חשוב לציין שהשירות לא יעצור את אותה בעיה, הוא יספר לכם, הוא יבצע זיהוי של האיום, זו מערכת זיהוי ולא מניעה, ואתם צריכים לקחת את הפעולה, לחסום את הפורץ, לסגור את הגישה למכונה ולנקות את המכונה, כמו כל מערכת זיהוי חדירות אחרת, וזו באמת מערכת זיהוי מאוד מאוד טובה.

9. דוגמאות לזיהויים: הוא יודע לספר על משהו לא נורמלי שקורה בחשבון שלכם, אם לא נכנסתם מעולם מאנגליה בשולחן עבודה מרוחק לאחת המכונות הוא יגיד לכם את זה כאזהרה, אם מישהו מנסה לחדור עם המשתמש הראשי וסיסמה הוא יספר לכם, אם מישהו מנסה שוב ושוב לחדור ב-SSH למכונה כלשהי בצורה של פריצה בכוח הוא יספר לכם, ואם מישהו עושה סריקת פורטים הוא יספר לכם, ונתתי לכם עשר דוגמאות פופולריות מתוך מעל מאה ומשהו איומים.

10. התמחור: AWS מתגאים שהחברות הכי גדולות בעולם משתמשות בשירות זה, והעלות היא בהתאם לשימוש שלכם, כמה עומס יש בחשבון, כמה תעבורת רשת, כמה מכונות וכמה בקשות DNS יוצאות מתוך הרשת שלכם.

11. הפעלה בפועל: נכנסים בחיפוש אל השירות, לוחצים על התחלה ומפעילים, וחשוב להבין שצריך להפעיל אותו באזור הגיאוגרפי שבו יש לכם את הרשת הווירטואלית ואת המכונות, והוא אינו מופעל על כל החשבון ועל כל האזורים אלא פר אזור, ולכן אם יש לכם עומסי עבודה בכמה אזורים מומלץ להפעיל אותו בכל אחד מהם, ואם אין לכם כלום באזור מסוים אין מה להפעיל שם.

12. שלוש הקטגוריות של ההתרעות: לשירות שלוש קטגוריות, הקטגוריה הכחולה מספרת אינפורמציה בלבד, כמו שהמשתמש הראשי נכנס למערכת או שמישהו עושה סריקה על המכונות, שום דבר שצריך ממש לחשוש ממנו, הקטגוריה הכתומה היא כבר אזהרה, כמו חשד לפריצה בכוח, כניסה ב-SSH או בשולחן עבודה מרוחק ממדינה שמעולם לא עשיתם זאת ממנה, או שיש לכם דלי אחסון ציבורי וכדאי לשאול אם יש סיבה, והקטגוריה האדומה היא כבר בעיה, שם זיהוי החדירות גילה חדירה, כריית ביטקוין או מכונה שהפכה לבוט, ואתם צריכים לפתור אותה, בין אם לחסום את המכונה, לסגור את הדלי, לסגור את הפורט או את הגישה המרוחקת.

13. בלשונית ההגדרות רואים שאפשר להפעיל הגנה על שירות האחסון שהיא מופעלת כברירת מחדל, הגנה על אשכולות של קוברנטיס אם יש לכם כאלה, הגנה על המכונות שלכם מפני נוזלות, הגנה על מסדי נתונים שכרגע עובדת רק על שירות מסד הנתונים המנוהל של אורורה ולאט יוסיפו עוד שירותי מסדי נתונים, ואפילו הגנה על פונקציות חישוב חסרות שרת אם יש לכם סקריפטים כאלה.

14. היכרות עם ההתרעות בעזרת דוגמאות: כדי לראות אילו התרעות אתם צריכים להתכונן אליהן, בהגדרות מפעילים את התרעות הדוגמה, והמערכת זורקת למסך את כל ההודעות שהיא מכילה, כולן פייק, ואפשר לראות רשימה של מעל מאה ושישים התרעות שמחולקות לקטגוריות, ארבע עשרה מסוג חשד, כמו ניסיון פריצה בכוח לשולחן עבודה מרוחק, כולל מאיזו כתובת מגיעים, ארבע עשרה בקטגוריית אזהרה שבה כבר רואים הסבר מה האינסטנס שחווה את הבעיה, מאיזו כתובת התעבורה הלא מובנת מגיעה, מתי זה התחיל וכמה זמן זה נמשך, וכשבעים ושמונה בקטגוריית הבעיות החמורות, כמו מניעת שירות, מניעת שירות מבוססת UDP, גישה מרחוק ממקום שאליו לא ניגשתם מעולם, כריית ביטקוין רצה, כלי כרייה, פעילות זדונית וקובץ זדוני שהוא קשור לנוזלה שזיהה.

15. ניהול ההתרעות והעלות היומית: המערכת מסתכלת על כל היומנים שלכם ובעזרת למידת מכונה מגיעה למסקנה שמשהו חשוד מתרחש בחשבון, ובלחיצת כפתור, בלי צורך להתקין סוכנים ובלי שום דבר מיוחד, ולגבי העלות, אחרי כמה ימים המערכת מתחילה לחשב הערכה כמה כל יום יעלה לכם, ואז אתם יכולים להחליט אם זה מתאים לכם להישאר עם המוצר הזה או לא, ושלושים הימים הראשונים חינם.

16. ארכוב הדוגמאות והמשך הדרך: אחרי שהבנתם את ההודעות השונות, וחשוב לי שתבינו את ההודעות האדומות, אפשר לסמן אותן ולדכא אותן, פשוט לעשות להן ארכוב, ותמיד תוכלו לבוא ולהסתכל על כל ההתרעות מחדש, אבל אם רוצים לנקות את המסך לגמרי, כי אלה הודעות דוגמה פייק שנועדו רק כדי שתלמדו למה לצפות, עוברים על כולן ועושים להן ארכוב, כך שכשיהיו לכם הודעות אמיתיות יהיה לכם יותר קל להבחין בהן, ואחר כך פשוט נותנים למערכת לעבוד ואם היא תזהה תופעה כלשהי נראה את זה שם, ובשיעור הבא נראה כיצד להפעיל את השירות בחשבון האבטחה כדי שמשם נוכל לראות התרעות בכל החשבונות או בחשבון אחר.
לסיכום, בשיעור זה הכרנו את שירות הזיהוי החדירות של AWS כשירות שחייבים להפעיל בכל חשבון, למדנו שהוא מערכת זיהוי ולא מניעה שמסתכלת על כל היומנים, תעבורת הרשת, בקשות ה-DNS והמכונות בעזרת למידת מכונה, הבנו את שלוש הקטגוריות של ההתרעות וכיצד מפעילים אותו פר אזור גיאוגרפי, התנסינו בהתרעות הדוגמה כדי להכיר את מעל מאה ושישים האיומים שהוא מזהה, ולמדנו לארכב אותן ולעקוב אחר העלות היומית בתוך שלושים ימי הניסיון החינמיים. SR13156HE

פרקי ההרצאה: הסבר על AWS GuardDuty חלק 1

תמלול ההרצאה: הסבר על AWS GuardDuty חלק 1

הטקסט המלא של הדקות הראשונות בהרצאה «הסבר על AWS GuardDuty חלק 1» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
אז כמו שאמרנו, יש רשימה ארוכה מאוד של דברים שאפשר לעשות בנושא של Security, בנושא של אבטחת מידע בעניין של AWS. אז אנחנו מתחילים ברשימת ההמלצות שקשורות בהגנה על החשבון שלכם עצמו.
00:18
החשבון עצמו זה אותו חשבון AWS, יכול להיות חשבון הפרודקשן, חשבון ה-Dev, איזשהו חשבון AWS ששם יש לכם מערכות הפעלה, דאטה בייסס, הדאטה, נטוורקס וכו' וכו'.
00:31
אחד הדברים הבסיסיים ביותר שאתם רוצים לעשות זה כמובן ה-ROOT MFA. אתם חייבים לדאוג שהחשבון ROOT, אותו אימייל אדרס, זה החשבון כל-יכול שאיתו אתם נכנסים ל-AWS אקאונט שלכם.
00:46
חייבים לדאוג שהחשבון הזה שלכם להגדיר לו את ה-MFA. אני יוצא מהנחה שעשיתם את זה. הדבר הבא הוא הפעלה של תוכנה מאוד חשובה, של שירות מאוד חשוב של AWS והוא נקרא Guard Duty.
01:01
מה זה בעצם guard duty? guard duty זה מערכת IDS, זה מערכת שהיא Intrusion Detection, זה מה שהיא עושה, Intrusion Detection System, IDS. מה שיפה במערכת הזאת זה שזה קליק אחד, זה ממש צ'קבוקס להפעיל אותה, וה-guard duty בעצם מסתכל בתוך החשבון שלכם, הוא מסתכל על כל הלוגים של ה-Cloudrail, הוא מסתכל על ה-VPC Flow Logs,
01:28
כל ה-Network Traffic בתוך האקאונט הוא מסתכל על כל מה כל הבקשות DNS שבאות מתוך האקאונט שלכם הוא יודע גם להסתכל על מכונות על Linux Windows ולבדוק אם יש עליהם איזשהו מולוויר ובעזרת Machine Learning וכל מיני מערכות נוספות של AWS אגר דיוטי אותה מערכת על יודעת לספר לכם אם יש איזשהו משהו חשוד ברמת
01:57
חשד שקורה בחשבון שלכם או משהו שהוא ממש בעיה. אני אומר לכם ה-Guard Duty זה אחד הדברים שאתם חייבים להפעיל בחשבון, בטח ובטח בחשבון הפרודקשן שלכם, אבל מבחינתי בכל חשבון.
02:12
בואו ניגש רגע ל-Guard Duty אונליין ונראה מה AWS מספרים לנו על ה-Guard Duty. אז קודם כל חשוב להבין שאתם מקבלים 30 יום של פרי טרייל, שזה מקסים.
02:22
למה זה חשוב? כי ב-30 יום האלה אתם תוכלו לראות כמה בערך יעלה לכם גארד דיוטי אם תמשיכו לעבוד איתו זה חשוב לדעת את זה כי קצת קשה לעשות איזשהו אסטימט הערכה לפני כן כמה יעלה לנו גארד דיוטי כי זה מאוד קשור לכמה תעבורה כמה קליינטים כמה EC2 אינסטנס יש לכם כמה דאטה בייסים יש לכם זה קצת טריקי לכן מקבלים 30 יום בחינם
02:49
כדי לחשוב האם זה מערכת שאתם רוצים להישאר איתה אני אומר לכם בוודאות שאתם בוודאות תרצו להישאר איתה אז הגאר דיוטי בעצם מה שהוא יודע לעשות, Protect your AWS accounts with intelligent threat detection.
03:04
זה כל העניין, העניין הוא שהוא יודע לזהות איומים שיש לכם בחשבון, והאיומים האלה יכולים להיות איזשהו מולוויר, זה יכול להיות אחד המכונות שלכם הפכה להיות בוט, מישהו השתלט עליה והוא משתמש בה כבוט שפוגע במחשבים אחרים באינטרנט, זה יכול מאוד להיות ביטקוין מיינינג, מישהו חדר לכם לחשבון והוא מריץ ביטקוין מיינינג,
03:29
זה יכול להיות שמישהו חדר לכם לחשבון ב-SSH או ב-RDP, זה יכול מאוד להיות מעל 100 ומשהו התרעות או בעיות שקשורות לאבטחת מידע. יש באמת רשימה ארוכה מאוד של threats, של איומים שגאר דיוטי יודע לספר לכם.
03:50
דרך אגב, גאר דיוטי לא יעצור את אותה בעיה, הוא יספר לכם, הוא יעשה DETECTION של ה-THREAT. שימו לב: DETECT AND MITIGATE THREAT IN YOUR CONTAINER ENVIREMENT הוא יגיד לכם שהוא מוצא משהו חשוד ב-CONTAINER ENVIREMENT אבל אתם צריכים לקחת את הפעולה ולחסום את אותו פורץ לסגור את אותה גישה ל-EC2 לנקות את אותה EC2 כמו כל
04:14
מערכת אחרת IDS מערכת הגארד דיוטי היא DETECTION SYSTEM ובאמת מערכת מאוד מאוד טובה. אז הוא בעצם יודע לספר לכם על משהו שהוא לא נורמלי שקורה בחשבון שלכם.
04:29
אם לא נכנסתם אף פעם מאנגליה ב-RDP לאחד המכונות, הוא יגיד לכם את זה כאזהרה. אם מישהו מנסה לחדור עם הרוט-יוזר ופסוורד, הוא יספר לכם על זה. אם מישהו מנסה לחדור תחת SSH למכונה כלשהו, מנסה שוב פעם ושוב פעם בצורה של ברוטפורס, הוא יספר לכם. אם מישהו עושה סקנינג של הפורט,
04:49
הוא יספר לכם. בקיצור אני נתתי לכם דוגמא של איזה 10 דברים שהם מאוד פופולריים לצערנו אבל יש מעל 100 ומשהו איומים שגאר דיוטי יודע לזהות וכל הזמן הכמות הזו של האיומים גודלת אז גאר דיוטי במילה אחת זה מערכת IDS כמו שאתם יכולים לראות AWS מתגאה בזה שהחברות הכי גדולות בעולם משתמשות בגאר דיוטי והפרייסינג העלות של גאר דיוטי זה בהתאם לשימוש שלכם כמה עומס
05:18
בחשבון שלכם יש יש עומס, הכוונה כמה Network Traffic, כמה EC2 Instances, כמה בקשות DNS יוצאים מתוך הרשת שלכם. אז שוב פעם, זו מערכת שיודעת לזהות איומים שקיימים לצערנו באינטרנט, יודעת לזהות אם האיומים האלה, אם יש איזושהי פעילות חשודה, וכדאי לי לספר לכם עליה, וכמובן אם יש פעילות שהיא מעבר לחשודה,
05:46
אלא ממש עבירה. כמו שאמרתי, ביטקוין מיינינג, אחד המכונות שלכם יש לו מולוויר, אחד המכונות שלכם השתלטו עליו והוא הפך להיות בוט שפוגע במכונות אחרות באינטרנט וכן הלאה וכן הלאה, ויש רשימה גדולה מאוד נוספת.
06:00
אז אם אתם מחפשים שירות IDS להגן על החשבון שלכם, GuardDuty זה הפתרון. בואו ניגש ונראה איך אני מפעיל GuardDuty, אין יותר פשוט מלהפעיל GuardDuty. אז כמו שאתם יכולים לראות, יש לנו את רשימת החשבונות, זוכרים מתחילת הקורס אנחנו בנינו מספר חשבונות ואמרנו בהמשך נראה איך אנחנו נשתמש בחשבונות האלה
06:22
כמובן אחד החשבונות החשובים שלי זה חשבון הפרודקשן אז בוא ניגש ונגיד שאנחנו רוצים להפעיל גארד דיוטי בחשבון פרודקשן נתחיל מההתחלה אז כמו שאתם יכולים לראות יש לי פה את החשבון פרודקשן שלי הנה החשבון פרודקשן מן הסתם יש לי VPC ואולי EC2 וכן הלאה וכן הלאה החלטתי להגן על החשבון שלי בעזרת הפעלה של הגארד דיוטי
06:48
איך אנחנו עושים את זה? בואו ניגש לפה, תנו לי רק לסדר את ה-Zoom. אנחנו ב-Search נחפש "Guard Duty". איך אני מפעיל "Guard Duty"? פשוט לחיצה פה על "Get Started".
06:58
זה מה שצריך לעשות. להפעיל את זה, זה בלחיצת כפתור והמערכת מתחילה לעבוד. מה שחשוב לי להגיד לכם זה שאתם תצטרכו להפעיל את ה-Guard Duty ב-region שבו יש לכם את ה-VPC ואת המכונות.
07:12
אם יש לכם את המכונות ו-VPC בווירג'יניה ואולי גם באוהיו ואולי גם באורגון וקליפורניה ואולי בפרנקפורט אתם תצטרכו או אני ממליץ לכם להפעיל גאר דיוטי בכל אחד מאותם ריג'נס גאר דיוטי לא מופעל על כל החשבון על כל הריג'נס הוא מופעל פר ריג'ן והנה השלושים יום חינם אז זה כבר משמח ופה אני לחצתי עליו קליק ואניבל גאר דיוטי זהו חברים
07:41
הפעלתי עכשיו גאר דיוטי גאר דיוטי כשלעצמו יש לו שלוש קטגוריות קטגוריה כחולה, שזה מספר לכם אינפורמציה בלבד, כמו היי, רות יוזר כרגע נכנס למערכת, היי, מישהו עושה לך סקן על המכונות, שום דבר שצריך ממש לחשוש ממנו.
07:57
ואז יש לנו את הקטגוריה הכתומה, שזה כבר אזהרה, היי,