![AWS GuardDuty 是否通过 ELB 监控流量?](https://linux22.com/image/736240/AWS%20GuardDuty%20%E6%98%AF%E5%90%A6%E9%80%9A%E8%BF%87%20ELB%20%E7%9B%91%E6%8E%A7%E6%B5%81%E9%87%8F%EF%BC%9F.png)
我一直在尝试寻找这个问题的明确答案。我期望答案是“是”,但它与我在实践中看到的情况不一致。来自文档 GuardDuty “通过持续监控 AWS 环境内的网络活动和账户行为来识别威胁。“从该页面的图表来看,这包括 VPC 流日志。
但是,我从未见过 GuardDuty 发现任何涉及端口探测(或任何其他类型的入站 Recon/UnauthorizedAccess 警报)的发现,这些发现针对的是 ELB 后面的任何实例或 ELB 本身。我相信我们已经很好地锁定了它们,但我预计至少会看到针对 443 的端口探测。(请注意,我并不是想要它们。但它是面向公众的……)
AWS GuardDuty 是否监控并警告流向和通过 ELB 的流量?
*如果有帮助的话,我们正在使用 Classic ELB。
更新
我确实在 ELB 后面的一台无关紧要的服务器上向全世界开放了 443 端口。我确实开始收到有关实例的警报,但没有收到有关 ELB 的警报。但是,除了 ELB 之外,从任何地方访问该服务器都可能超出了 GuardDuty 的正常活动基线,并且足以触发它。
我仍在寻找答案。
答案1
Guard Duty 监控 VPC 内的所有流量。它使用流日志、CloudTrail 和 DNS 日志,但由于它从超平面的源头使用该信息,因此您实际上不需要打开流日志或 CloudTrail。我没有这方面的书面资料,它来自 AWS 解决方案架构师。
AWS Shield 与 CloudFront 和负载均衡器集成,可以阻止一些不良行为者访问您的实例。
我看到 Guard Duty 针对端口探测、为 RDP 打开安全组等各种情况发出警报。我看到针对我的 Web 服务器的 https 探测,该服务器位于 CloudFlare 后面,它不是负载均衡器,但实际上是反向代理。我关闭了低优先级警报,因为它们很烦人,并不代表任何真正的威胁。