GuardDuty RDS Protection เพิ่มการตรวจข้อมูลรั่วและถูกทำลายใน PostgreSQL
AWS เพิ่มการตรวจความผิดปกติของ data activity ใน Aurora และ RDS PostgreSQL พร้อมแนวทางเตรียม alert และทดสอบก่อนเปิดใช้ทั่วองค์กร
AWS ประกาศวันที่ 8 ตุลาคม 2026 ว่า GuardDuty RDS Protection ขยายจากการตรวจความผิดปกติของการเข้าสู่ระบบไปสู่การตรวจพฤติกรรม query ที่อาจเป็นการนำข้อมูลออกหรือทำลายข้อมูลใน Aurora PostgreSQL และ RDS for PostgreSQL ความสามารถใหม่นี้มีชื่อว่า RDS Protection for data activity และเป็นส่วนเสริมของการป้องกันกิจกรรมล็อกอิน
การตรวจจับเปลี่ยนตรงไหน
ที่ผ่านมา credential ที่ถูกขโมยอาจล็อกอินได้สำเร็จ จึงไม่เกิดสัญญาณจากการตรวจ login เพียงอย่างเดียว AWS ระบุว่าความสามารถใหม่ใช้การตรวจความผิดปกติของรูปแบบ query ร่วมกับ threat intelligence เพื่อหากิจกรรมที่ต่างจากพฤติกรรมปกติของฐานข้อมูล จุดสำคัญคือเป็นสัญญาณเพิ่มเติมสำหรับทีมตอบสนองเหตุการณ์ ไม่ใช่กลไกป้องกันข้อมูลรั่วไหลทุกกรณีหรือสิ่งทดแทนการกำหนดสิทธิ์ฐานข้อมูล
AWS ระบุว่าเปิดใช้ได้ในระดับองค์กรผ่านคอนโซลหรือ API, SDK, CLI และ CloudFormation โดยเป็น add-on ของ RDS Protection for login activity มีช่วงทดลอง 30 วันต่อบัญชีต่อ Region และรองรับ Region ที่บริการ RDS Protection มีให้ใช้กับ Aurora PostgreSQL และ RDS for PostgreSQL ทั้งนี้เวอร์ชันฐานข้อมูลที่รองรับต้องเช็กในเอกสารปัจจุบันก่อนเปิดใช้
แนวทางทดลองสำหรับทีมฐานข้อมูล
เริ่มจาก inventory ของบัญชี, Region, cluster และ instance ที่สำคัญ ตรวจสถานะ GuardDuty และ RDS Protection เดิม จากนั้นเลือกฐานข้อมูลที่มีข้อมูลทดสอบหรือ staging เพื่อเปิด data activity ก่อน กำหนดผู้รับ alert และช่องทางส่งเข้า SIEM หรือระบบ ticket ให้ชัดเจน การเปิด detection โดยไม่มีผู้รับผิดชอบ triage ทำให้ alert เพิ่มขึ้นแต่ไม่ได้ลดเวลาตอบสนองจริง
หลังเปิดใช้ ให้เก็บ baseline ของ workload ที่ถูกต้อง เช่น batch export, งานสำรองข้อมูล, migration และ report ที่อ่านข้อมูลจำนวนมาก จากนั้นทดสอบ event จำลองอย่างปลอดภัยตามแนวทางที่ AWS รองรับ เพื่อดูว่า finding มีรายละเอียดเพียงพอให้แยกงานปกติออกจากพฤติกรรมน่าสงสัยหรือไม่ วัดเวลาตั้งแต่ finding ปรากฏจนมีผู้ตรวจสอบ และกำหนด escalation เมื่อพบการอ่านหรือแก้ไขข้อมูลผิดปกติ
สิ่งที่ยังต้องทำควบคู่กัน
คงหลัก least privilege, แยก credential ของแอป, หมุนคีย์, เข้ารหัสและทดสอบการกู้คืนข้อมูลตามเดิม Detection อาจช่วยเห็นพฤติกรรมที่ไม่คาดคิด แต่ไม่ควรใช้เป็นข้ออ้างให้แอปมีสิทธิ์กว้างขึ้น ก่อนเปิดทุกบัญชีให้ตรวจค่าใช้จ่ายหลังช่วงทดลอง ความพร้อมของ Region และผลกระทบต่อกระบวนการ incident response ขององค์กร
อ่านประกาศต้นทาง: GuardDuty RDS Protection ตรวจ data exfiltration และ destruction, 8 ตุลาคม 2026