AWS thông báo Amazon GuardDuty Runtime Monitoring đã được đưa vào gói AWS Security Hub Threat Analytics. Tính năng tiếp tục quan sát hoạt động hệ điều hành, mạng và file để phát hiện dấu hiệu như container escape, leo thang đặc quyền hoặc cryptomining trên EC2, EKS và ECS chạy Fargate. Thay đổi chính nằm ở cách gom và hiển thị chi phí, không phải thay đổi detection engine hay bắt buộc cấu hình lại agent.
Runtime Monitoring là lớp phát hiện ở thời điểm workload đang chạy. AWS nêu ba nguồn telemetry: hoạt động hệ điều hành, lưu lượng mạng và file. Từ đó GuardDuty có thể tạo finding khi nhận diện hành vi liên quan container escape, privilege escalation hoặc cryptomining. Phạm vi được AWS nêu gồm Amazon EC2, Amazon EKS và Amazon ECS trên AWS Fargate.
Đây là lớp bổ sung cho kiểm soát phòng ngừa như IAM, security group, image scanning và network segmentation. Nó không thay thế hardening: finding tốt vẫn phụ thuộc log, agent, quyền triển khai và quy trình phản ứng của đội vận hành.
Ở account và Region đã bật Security Hub, AWS nói khách hàng không còn nhận khoản phí GuardDuty riêng cho Runtime Monitoring tại account/Region đó. Phần sử dụng này xuất hiện trên hóa đơn dưới AWS Security Hub, với một usage type bao phủ EC2, EKS và ECS Fargate thay vì tách theo từng loại tài nguyên.
Đây là thay đổi cần chú ý khi làm cost allocation. Dashboard hoặc cảnh báo ngân sách đang lọc theo service GuardDuty có thể không còn phản ánh đủ chi phí runtime detection sau đợt chuyển đổi. Cần kiểm tra Cost Explorer, CUR và tag/cost category đang dùng để phân bổ chi phí cho platform team hoặc workload owner.
Việc gom usage type xuyên ba môi trường giúp đội platform nhìn chung một lớp runtime threat detection thay vì ba dòng chi phí rời rạc. Nhưng vận hành mạng vẫn cần tách nguyên nhân kỹ thuật: traffic bất thường ở EC2, pod EKS hay task Fargate có đường quan sát, cơ chế cô lập và quyền xử lý khác nhau. Dashboard chi phí thống nhất không nên kéo theo playbook ứng phó thống nhất một cách máy móc.
Đây không phải thông báo về một detector mới, nhưng có giá trị vận hành vì thay đổi ownership của chi phí và cách báo cáo. Khi security telemetry trải trên VM, Kubernetes và serverless container, phân mảnh hóa đơn thường khiến coverage bị xem như “chi phí của dịch vụ khác”. Đưa Runtime Monitoring về Threat Analytics giúp Security Hub trở thành điểm nhìn rõ hơn cho lớp phát hiện runtime.
Việc cần làm không phải bật lại agent. Việc cần làm là xác nhận coverage thật, sửa dashboard chi phí và kiểm tra đường phản ứng của từng loại workload. Nếu một finding không dẫn được tới owner, workload, network path và thao tác cô lập trong thời gian ngắn, số liệu phát hiện vẫn chưa biến thành khả năng phòng thủ.
