اكتشاف أنماط النشاط الشاذة

تتمثل فائدة التحقيق في التعرف على الأنماط التي تشير إلى اختراق. يعرض Detective هذه الأنماط، لكن يجب أن تعرف شكلها. يتناول هذا الدرس الأنماط الشاذة التي تعني غالبًا أن مهاجمًا ينشط في بيئة AWS.

يُعد الارتفاع المفاجئ في استدعاءات API من كيان يكون عادةً هادئًا علامة تحذير كلاسيكية. إذ يستعرض المهاجمون الموارد ويجرون العديد من الاستدعاءات بسرعة. وتجعل مقارنة Detective بخط الأساس هذه الارتفاعات واضحةً مقابل الإيقاع المعتاد للكيان.

غالبًا ما يعني النشاط من بلد أو عنوان IP لم يُشاهد من قبل لكيان ما استخدام بيانات اعتماد مسروقة. فإذا كان دور ما يُستخدم من منطقتك المؤسسية فقط، ثم بدأ فجأةً في التصرف من قارة أخرى، فذلك أمر مثير للريبة بدرجة كبيرة، لا سيما إذا اقترن بإجراءات غير معتادة.

بالإضافة إلى الحجم، راقب أنواع الإجراءات. فالهوية التي تقتصر عادةً على قراءة البيانات ثم تبدأ فجأةً بإنشاء المستخدمين أو إرفاق السياسات أو حذف السجلات، تشير إلى إساءة استخدام الامتيازات. وتُعد الإجراءات الجديدة والحساسة دليلًا أقوى من مجرد عدد الاستدعاءات.

تظهر المراحل المبكرة من الهجوم على شكل استطلاع: العديد من استدعاءات الوصف والسرد، أو فحص المنافذ، أو محاولات الوصول الفاشلة، بينما يرسم المهاجم خريطة لبيئتك. ويمنحك اكتشاف الاستطلاع مبكرًا، قبل أن يتصرف المهاجم، أفضل فرصة للاحتواء السريع.

يشير نشاط كيان من موقعين متباعدين خلال وقت قصير يستحيل معه الانتقال بينهما، أي السفر المستحيل، إلى استخدام بيانات الاعتماد من أكثر من طرف. ويُعد هذا النمط علامة شبه مؤكدة على تسرب سر ما وإساءة استخدامه.

من المؤشرات عالية الثقة أن يقوم أحد الأطراف بإيقاف الأمان، مثل تعطيل GuardDuty أو إيقاف CloudTrail أو حذف السجلات أو تغيير قواعد التكوين. ونادرًا ما يفعل المستخدمون الشرعيون ذلك. ويرصد كل من Detective وGuardDuty محاولات إعماء دفاعاتك.

تشير عمليات نقل البيانات الصادرة الكبيرة أو غير المعتادة، لا سيما إلى وجهات غير مألوفة، إلى احتمال استخراج البيانات. ويظهر ذلك في الرسم البياني على شكل ارتفاعات في حجم الشبكة أو اتصالات بعناوين IP خارجية جديدة. ويؤكد ربط ذلك بكيان مخترق حدوث السرقة.

قد يكون شذوذ واحد سليمًا، لكن اجتماع عدة شذوذات نادرًا ما يكون كذلك. فوجود موقع جديد إلى جانب ارتفاع في الاستدعاءات وتعطيل السجلات يقدم قصة مترابطة قوية عن الاختراق. ويتفوق رسم Detective البياني في إتاحة ربط هذه الإشارات للوصول إلى استنتاج موثوق.

من الأنماط الخطيرة الحركة الجانبية: أن يخترق المهاجم موردًا ثم يستخدمه للوصول إلى موارد أخرى، متنقلًا بين المثيلات أو الأدوار أو حتى الحسابات. ويظهر ذلك في الرسم البياني للسلوك على شكل سلسلة من الاتصالات الجديدة التي تنتشر إلى الخارج من الضحية الأولى. ويُعد اكتشاف الحركة الجانبية مبكرًا أمرًا بالغ الأهمية لأنه يكشف اتساع الهجوم بدلًا من احتوائه.

ليست كل حالات الشذوذ هجومًا. فقد يبدو النشر الجديد أو انتقال موظف أو مهمة أتمتة جديدة غير معتاد في البداية. ويتمثل النهج المنضبط في ربط الإشارات والتحقق من السياق قبل التصرف: هل يتوافق النشاط مع تغيير معروف، وهل تتفق مؤشرات متعددة؟ إن التحقيق بدلًا من رد الفعل يمنع هدر الجهد والتعطيل غير الضروري.

تشمل الأنماط الشاذة التي تشير إلى الاختراق الارتفاعات المفاجئة في استدعاءات API، والنشاط من مواقع جغرافية جديدة، وإجراءات API غير المعتادة أو الحساسة، والاستطلاع، والسفر المستحيل، ومحاولات تعطيل عناصر التحكم الأمنية، وارتفاعات استخراج البيانات. وقد يكون الشذوذ الواحد سليمًا، لكن ربط عدة شذوذات معًا يؤدي إلى استنتاج موثوق يوجه عملية الاحتواء.