O que foi anunciado
A AWS anunciou que o Amazon GuardDuty agora oferece suporte a regras opcionais de detecção para o Runtime Monitoring — o módulo responsável por monitorar comportamentos em tempo de execução nos ambientes da nuvem. Com essa novidade, equipes de segurança ganham mais controle e granularidade sobre o que deve ou não gerar alertas.
Mais de 50 novas regras de detecção
São mais de 50 regras de Runtime Monitoring que podem ser habilitadas conforme a necessidade de cada ambiente. Elas detectam atividades relacionadas a processos, arquivos e tráfego de rede que podem ser completamente normais em um contexto, mas indicar comprometimento em outro — como a modificação de arquivos sudoers ou a desativação de logs de auditoria.
Esse nível de flexibilidade é especialmente valioso para times que operam ambientes heterogêneos, onde uma mesma ação pode ter significados diferentes dependendo da carga de trabalho.
Cobertura e tipos de findings
As novas regras oferecem detecções para os seguintes serviços:
- Instâncias Amazon EC2
- Amazon EKS (Elastic Kubernetes Service — Serviço Gerenciado de Kubernetes)
- Amazon ECS (Elastic Container Service — Serviço de Contêineres) tanto em EC2 quanto em AWS Fargate
No total, são 13 tipos de findings mapeados às táticas do framework MITRE ATT&CK®, incluindo:
- Persistência (Persistence)
- Escalada de privilégios (Privilege Escalation)
- Execução (Execution)
- Evasão de defesas (Defense Evasion)
- Descoberta (Discovery)
- Exfiltração (Exfiltration)
- Comando e controle (Command and Control)
Quatro novos tipos de findings
Além das regras existentes, esta versão introduz quatro novos tipos de findings:
CommandAndControl:Runtime/SuspiciousCommandCredentialAccess:Runtime/SensitiveFileReadDiscovery:Runtime/SensitiveFileReadExfiltration:Runtime/SuspiciousCommand
Modo dry-run para avaliação antes de ativar
Um ponto importante dessa release é a possibilidade de habilitar as regras em modo dry-run. Isso permite que as equipes avaliem a eficácia das detecções — verificando quantos e quais alertas seriam gerados — antes de ativá-las de fato no ambiente de produção. É uma forma segura de calibrar as regras sem gerar ruído desnecessário.
Para começar, basta acessar o console do GuardDuty e explorar as opções de regras disponíveis.
Disponibilidade
As Regras de Detecção Personalizadas para Runtime Monitoring estão disponíveis em todas as regiões comerciais da AWS, incluindo as regiões AWS GovCloud (US). Para saber mais sobre o funcionamento do recurso, consulte a documentação oficial: Regras de Detecção Personalizadas do Amazon GuardDuty.
Para receber atualizações programáticas sobre novos recursos e detecções de ameaças do GuardDuty, a AWS recomenda assinar o tópico SNS do Amazon GuardDuty.
Fonte
Amazon GuardDuty adds optional threat detection rules for Runtime Monitoring (https://aws.amazon.com/about-aws/whats-new/2026/10/guardduty-runtime-optional-detection-rules/)
Leave a Reply