Ravindra BagaleCourses & study guides English Track your progress

Amazon GuardDuty आणि Security Hub: AWS वर Threat Detection सोप्या भाषेत

By , trainer LinkedIn Last updated:

CCTV ≠ समजणारा गार्ड. CloudTrail = टेप. GuardDuty = टेप बघणारा गार्ड. Security Hub = अनेक cameras चा control room wall.

या chapter मध्ये तुम्ही काय शिकाल

  • Detection logs वर का
  • GuardDuty findings
  • Security Hub / standards
  • Enable, triage, multi-account
  • Lab, errors, FAQ, interview

1. आधी रोजचं उदाहरण

हे का लागतं?

Startup key GitHub वर. कोणी पाहिलं नाही. नव्या region मध्ये miners. GuardDuty enable असती तर UnauthorizedAccess minutes मध्ये.

हे काय आहे?

GuardDuty = CloudTrail/Flow/DNS (व optional protections) वर threat detection — findings. Security Hub = अनेक tools च्या findings + standards checks.

Detection pathAWS logsGuardDutyFinding → Security HubTicket / Lambda
Response playbook नसताना detection = noise.

2. Findings जे खरंच दिसतात

  • UnauthorizedAccess / Tor — विचित्र ठिकाणाहून keys.
  • PortProbe — scan.
  • Mining — stolen key लक्षण.
  • S3 exfiltration (protection on असेल).
  • Hub controls: open SG, root MFA नाही.

3. Multi-account

Organizations मध्ये delegated admin security account. Members findings पाठवतात. 40 accounts default — कोणी पाहत नाही हे नको.

Ravindra Bagale's Tip

High/Critical = page. Low/Medium = weekly board.

4. Industries

  • Banks: detection + SIEM.
  • Healthcare: logging + GuardDuty.
  • SaaS: multi-account data plane.
  • Edtech: lab accounts mining.
  • Agencies: Hub score = report card.

5. Mini lab: enable + एक finding

Org block नसेल तर ap-south-1 (Mumbai). आधी budget alert.

कसं करायचं (step by step)

  1. Sandbox → GuardDuty Enable.
  2. Security Hub + FSBP.
  3. Sample findings.
  4. Finding वाचा — severity/resource/remediation.
  5. Optional: finding → SNS.

Cleanup (billing थांबवा)

  1. Sandbox disable optional; prod on ठेवा.
  2. SNS test काढा.

6. सामान्य errors आणि fixes

प्रत्येक row = खरी चूक. Panic करण्याआधी fix वाचा.

Error / लक्षणFix
SilentRegion तपासा.
CloudTrail नाहीOrg trail.
FatigueSuppress काळजीने.
Standards skipFSBP + owners.
Member link नाहीDelegated admin.
Sample vs realLabel/filter.
Remediation loopGuards.
Malware costOptional protections पाहा.
JSON न वाचताExpand resource.
Root ignoreFire drill.

7. Troubleshooting checklist

  1. Admin account confirm.
  2. Finding region.
  3. CloudTrail/DNS.
  4. Hub filters.
  5. Runbook map.

8. FAQ

प्र. Antivirus?

नाही — telemetry (+ optional malware).

प्र. vs Hub?

Detect vs aggregate/score.

प्र. CloudTrail?

हो — foundation.

प्र. Slack?

EventBridge patterns.

प्र. Free?

Trial/pricing page पाहा.

9. Interview Q&A

प्र. Inputs?

CloudTrail/Flow/DNS + optional.

प्र. Finding?

Scored security signal.

प्र. Delegated admin?

Central security account.

प्र. Respond?

Triage→contain→eradicate.

प्र. Standards?

Automated pass/fail checks.

प्र. False positive?

Document + suppress reason.

10. Tips — English, मराठी आणि हिंदी

Ravindra Bagale's Tip (EN)

Enable GuardDuty the same day you create the account — before the first leak.

Ravindra Bagale's Tip (MR)

Account बनवल्या दिवशी GuardDuty — पहिल्या leak आधी.

Tip (HI)

अकाउंट बनाते ही दिन GuardDuty ऑन करो — पहले leak से पहले।

घरी करून बघा

  1. Sandbox enable + screenshot.
  2. 5 failed controls + owners.
  3. Mining playbook 5 ओळी.

थोडक्यात सांगायचं तर

  1. GuardDuty = threat detection.
  2. Hub = aggregate + standards.
  3. Org = delegated admin.
  4. Severity triage + response practice.

उजळणी, मुलाखत आणि तुलना cards

हा lesson काही मिनिटांत revise करा. Cards phone वर save करा किंवा PNG download करा. प्रत्येक card वरचा QR हा lesson उघडतो.

उजळणी card: Amazon GuardDuty म्हणजे काय?. रात्री unusual API/keys. Threat detection → findings. Enable → review → ticket/Lambda. AnomalousBehavior finding.
उजळणी card: Amazon GuardDuty म्हणजे काय? · PNG download करा · Card page उघडा
उजळणी card: AWS Security Hub म्हणजे काय?. वेगवेगळ्या consoles → एक queue हवी. Aggregate + standards (FSBP/CIS). Enable → standards → triage. S3 public → fix → green.
उजळणी card: AWS Security Hub म्हणजे काय? · PNG download करा · Card page उघडा
उजळणी card: Severity ने triage. सर्व LOW = outage सारखे = burnout. HIGH/CRITICAL first; lab noise filter. severity >= 7 → page. SNS = high only.
उजळणी card: Severity ने triage · PNG download करा · Card page उघडा
उजळणी card: Org-wide delegated admin. एक account = बाकी blind. Delegated admin = central cover. Designate admin; auto-enable. New member → findings visible.
उजळणी card: Org-wide delegated admin · PNG download करा · Card page उघडा
उजळणी card: Noise सुरक्षित कमी. Fatigue = खरा attack दिसत नाही. Lab suppress; prod tight + review. Owner + expiry; monthly review. Lab IP quiet; other CRITICAL still page.
उजळणी card: Noise सुरक्षित कमी · PNG download करा · Card page उघडा
तुलना: Amazon GuardDuty vs AWS Security Hub. Amazon GuardDuty: Logs/traffic मधून threat findings. AWS Security Hub: Findings aggregate + standards score.
तुलना: Amazon GuardDuty vs AWS Security Hub · PNG download करा · Card page उघडा
तुलना: GuardDuty vs Macie. GuardDuty: Suspicious behaviour signals. Macie: S3 मधला PII/sensitive data.
तुलना: GuardDuty vs Macie · PNG download करा · Card page उघडा
मुलाखत card: GuardDuty vs Security Hub?. GD=detect; Hub=aggregate/standards. Both: threat + posture. GD finding → Hub queue.
मुलाखत card: GuardDuty vs Security Hub? · PNG download करा · Card page उघडा
मुलाखत card: CRITICAL finding वर काय?. Contain → incident → evidence → fix. Silence नका; keys rotate. Disable key + Trail.
मुलाखत card: CRITICAL finding वर काय? · PNG download करा · Card page उघडा
मुलाखत card: Hub standard पहिले कोणते?. FSBP first; CIS if needed. Enable → fix high → weekly. S3 BPA = quick win.
मुलाखत card: Hub standard पहिले कोणते? · PNG download करा · Card page उघडा
मुलाखत card: Multi-account GuardDuty export?. Delegated admin + members. S3/EventBridge export. Sandbox finding → admin.
मुलाखत card: Multi-account GuardDuty export? · PNG download करा · Card page उघडा

अजून cards: Ravi Sir's Cards.

सराव Tasks

या scenario बद्दल

Milan Furniture हा मिलान मधला फर्निचर व्यवसाय आहे. Giulia Rossi त्यांचं IT व cloud काम पाहतात. त्यांचे पैसे EUR मध्ये मोजले जातात आणि AWS resources eu-south-1 Region मध्ये चालतात. खालच्या tasks मध्ये तुम्ही या lesson मध्ये शिकलेलं वापरून त्यांची खरी कामं करता. सगळी नावं, account IDs, IP addresses व numbers सरावासाठी काल्पनिक आहेत.

0 / 16

सोपं Detectors दाखवा

का: Region ला एक.

काय करायचं: eu-south-1 मधले detectors.

कसं करायचं:
  1. Task वाचा आणि ते कोणत्या AWS service बद्दल आहे ते ठरवा.
  2. aws लिहा, मग service चं नाव, मग operation (action शब्द).
  3. प्रत्येक आवश्यक flag (--name) व त्यापुढे task मधली value लिहा.
  4. Flags कोणत्याही क्रमाने चालतात. Check answer दाबा.

सोपं Detector घ्या

का: Status तपासा.

काय करायचं: detector milanfurnituredet.

कसं करायचं:
  1. Task वाचा आणि ते कोणत्या AWS service बद्दल आहे ते ठरवा.
  2. aws लिहा, मग service चं नाव, मग operation (action शब्द).
  3. प्रत्येक आवश्यक flag (--name) व त्यापुढे task मधली value लिहा.
  4. Flags कोणत्याही क्रमाने चालतात. Check answer दाबा.

सोपं Security Hub hub

का: Hub enabled?

काय करायचं: eu-south-1 मधला Security Hub.

कसं करायचं:
  1. Task वाचा आणि ते कोणत्या AWS service बद्दल आहे ते ठरवा.
  2. aws लिहा, मग service चं नाव, मग operation (action शब्द).
  3. प्रत्येक आवश्यक flag (--name) व त्यापुढे task मधली value लिहा.
  4. Flags कोणत्याही क्रमाने चालतात. Check answer दाबा.

सोपं Enabled standards

का: CIS / FSBP.

काय करायचं: Enabled standards दाखवा.

कसं करायचं:
  1. Task वाचा आणि ते कोणत्या AWS service बद्दल आहे ते ठरवा.
  2. aws लिहा, मग service चं नाव, मग operation (action शब्द).
  3. प्रत्येक आवश्यक flag (--name) व त्यापुढे task मधली value लिहा.
  4. Flags कोणत्याही क्रमाने चालतात. Check answer दाबा.

सोपं High severity score

का: Priority.

काय करायचं: Severity 8 साठी band start 7 — 7 लिहा.

कसं करायचं:
  1. Task मधले numbers लिहून घ्या.
  2. कागदावर step by step काढा.
  3. Box मध्ये फक्त final उत्तर लिहा.
  4. Check answer दाबा.

सोपं N regions

का: Multi-region.

काय करायचं: 3 regions = किती detectors?

कसं करायचं:
  1. Task मधले numbers लिहून घ्या.
  2. कागदावर step by step काढा.
  3. Box मध्ये फक्त final उत्तर लिहा.
  4. Check answer दाबा.

मध्यम Findings दाखवा

का: Threats triage.

काय करायचं: detector milanfurnituredet findings.

कसं करायचं:
  1. Task वाचा आणि ते कोणत्या AWS service बद्दल आहे ते ठरवा.
  2. aws लिहा, मग service चं नाव, मग operation (action शब्द).
  3. प्रत्येक आवश्यक flag (--name) व त्यापुढे task मधली value लिहा.
  4. Flags कोणत्याही क्रमाने चालतात. Check answer दाबा.

मध्यम Findings detail

का: Severity व type.

काय करायचं: detector milanfurnituredet, finding f1.

कसं करायचं:
  1. Task वाचा आणि ते कोणत्या AWS service बद्दल आहे ते ठरवा.
  2. aws लिहा, मग service चं नाव, मग operation (action शब्द).
  3. प्रत्येक आवश्यक flag (--name) व त्यापुढे task मधली value लिहा.
  4. Flags कोणत्याही क्रमाने चालतात. Check answer दाबा.

मध्यम Detector enable

का: Pause नंतर.

काय करायचं: detector milanfurnituredet enable true.

कसं करायचं:
  1. Task वाचा आणि ते कोणत्या AWS service बद्दल आहे ते ठरवा.
  2. aws लिहा, मग service चं नाव, मग operation (action शब्द).
  3. प्रत्येक आवश्यक flag (--name) व त्यापुढे task मधली value लिहा.
  4. Flags कोणत्याही क्रमाने चालतात. Check answer दाबा.

मध्यम Security Hub findings

का: Products एकत्र.

काय करायचं: Security Hub findings.

कसं करायचं:
  1. Task वाचा आणि ते कोणत्या AWS service बद्दल आहे ते ठरवा.
  2. aws लिहा, मग service चं नाव, मग operation (action शब्द).
  3. प्रत्येक आवश्यक flag (--name) व त्यापुढे task मधली value लिहा.
  4. Flags कोणत्याही क्रमाने चालतात. Check answer दाबा.

मध्यम GuardDuty findings read

का: SOC role.

काय करायचं: ListFindings व GetFindings on *.

कसं करायचं:
  1. { "Version": "2012-10-17", "Statement": [ ... ] } ने सुरू करा.
  2. प्रत्येक statement मध्ये Effect, Action व Resource लिहा.
  3. Task ला लागेल तेवढंच द्या (least privilege).
  4. Double quotes व commas नीट वापरा. Check answer दाबा.

मध्यम CIS controls

का: पुष्कळ controls.

काय करायचं: 5 failed CIS — number?

कसं करायचं:
  1. Task मधले numbers लिहून घ्या.
  2. कागदावर step by step काढा.
  3. Box मध्ये फक्त final उत्तर लिहा.
  4. Check answer दाबा.

अवघड Detector बनवा

का: GuardDuty चालू.

काय करायचं: enable true सह detector.

कसं करायचं:
  1. Task वाचा आणि ते कोणत्या AWS service बद्दल आहे ते ठरवा.
  2. aws लिहा, मग service चं नाव, मग operation (action शब्द).
  3. प्रत्येक आवश्यक flag (--name) व त्यापुढे task मधली value लिहा.
  4. Flags कोणत्याही क्रमाने चालतात. Check answer दाबा.

अवघड Security Hub enable

का: Hub चालू.

काय करायचं: Security Hub enable करा.

कसं करायचं:
  1. Task वाचा आणि ते कोणत्या AWS service बद्दल आहे ते ठरवा.
  2. aws लिहा, मग service चं नाव, मग operation (action शब्द).
  3. प्रत्येक आवश्यक flag (--name) व त्यापुढे task मधली value लिहा.
  4. Flags कोणत्याही क्रमाने चालतात. Check answer दाबा.

अवघड Finding criteria JSON

का: CRITICAL filter.

काय करायचं: Filter.SeverityLabel = CRITICAL.

कसं करायचं:
  1. Task मधल्या top-level keys पासून सुरू करा.
  2. Child keys 2 spaces ने indent करा (tabs नकोत).
  3. प्रत्येक property मध्ये task मधली value भरा.
  4. Check answer दाबा. Keys चा क्रम महत्त्वाचा नाही.

अवघड SH severity filter

का: HIGH वर focus.

काय करायचं: SeverityLabel HIGH EQUALS.

कसं करायचं:
  1. Task मधल्या top-level keys पासून सुरू करा.
  2. Child keys 2 spaces ने indent करा (tabs नकोत).
  3. प्रत्येक property मध्ये task मधली value भरा.
  4. Check answer दाबा. Keys चा क्रम महत्त्वाचा नाही.

सगळे सराव tasks Task Hub मध्ये पाहा →