Metrikfiltre til sikkerhedshændelser

Rå logs er righoldige, men passive. Et målefilter gennemgår indkommende loghændelser i en loggruppe, matcher et mønster, du definerer, og omdanner hvert match til et numerisk datapunkt i en CloudWatch-måling. Det forbinder tekstlogs med målingsverdenen, hvor du kan vise tendenser grafisk og, ikke mindst, udløse alarmer.

Sikkerhedssignaler er ofte skjult i almindelige logs: et mislykket login, et uautoriseret API-kald eller et konsollogin uden MFA. Et målefilter udtrækker netop disse linjer og tæller dem. Når en sikkerhedshændelse er blevet til en måling, kan du overvåge den og automatisk udløse en alarm i stedet for at håbe på, at et menneske opdager den, mens den ruller forbi.

Filtermønsteret definerer, hvad der skal matches. For almindelig tekst kan det bestå af enkle termer, og for JSON-logs kan det matche bestemte felter, f.eks. { $.errorCode = "AccessDenied*" }. CloudTrail-hændelser, der leveres til CloudWatch, er JSON, så JSON-filtermønstre lader dig målrette præcise hændelsesnavne og fejlkoder.

Når en loghændelse matcher, sender filtret en værdi til en måling, du navngiver, placeret i et målingsnavneområde. Normalt øger hvert match målingen med én, men du kan også udgive et numerisk felt fra loggen. Du angiver også en standardværdi, så målingen rapporterer nul, når ingen hændelser matcher. Det holder alarmerne velfungerende.

AWS udgiver anbefalede filtre til overvågning i CIS-stil: uautoriserede API-kald, login uden MFA, brug af rodkontoen, ændringer af IAM-politikker, ændringer af sikkerhedsgrupper og ændringer af CloudTrail-konfigurationen. Disse svarer direkte til vigtige detektionspunkter. Hvis du opbygger dette sæt, får du bred dækning af de mest risikable handlinger i kontrolplanet på en konto.

Et klassisk filter matcher hændelser, hvor errorCode er AccessDenied eller UnauthorizedOperation. En pludselig stigning i disse betyder ofte, at en angriber undersøger, hvad en stjålet legitimationsoplysning kan bruges til. Hvis du tæller dem som en måling, kan du udløse en alarm, når frekvensen overskrider en tærskel, og dermed opdage rekognoscering tidligt.

Ændringer af sikkerhedsgrupper, netværks-ACL'er eller rutetabeller kan ubemærket åbne en vej for en angriber. Et målefilter på hændelsesnavne som AuthorizeSecurityGroupIngress eller CreateRoute synliggør disse ændringer. Da legitime ændringer også forekommer, fortæller alarmen dig, at du skal kontrollere, om ændringen svarer til en godkendt anmodning – ikke at der nødvendigvis er noget galt.

CloudWatch Logs Insights bruges til ad hoc-forespørgsler, som du kører manuelt efter hændelsen. Målefiltre er kontinuerlige og proaktive: De evaluerer hver hændelse, når den ankommer, og leverer data til alarmer. Brug Insights til at udforske og målefiltre til at opdage. Eksamen sammenligner ofte reaktiv undersøgelse med proaktiv alarmering.

Filtre gælder kun for nye hændelser efter oprettelsen af filtret; de gennemgår ikke gamle logs bagudrettet. Du har også en grænse for antallet af målefiltre pr. loggruppe. Planlæg dit detektionssæt på forhånd, og husk, at historisk analyse stadig hører hjemme i Insights eller Athena over arkiverede data.

Et målefilter tæller alene. Dets værdi viser sig, når du knytter en CloudWatch-alarm til det, som overvåger målingen og giver dig besked via SNS, når en tærskel overskrides. Målefilter plus alarm plus SNS er standardmønstret til at omdanne en mistænkelig loglinje til en besked i realtid til dit sikkerhedsteam.

Design dine filtre ud fra de handlinger, der betyder mest: identitetsændringer, afviste kald, netværksændringer og aktivitet med rodkontoen. Giv hver af dem en fornuftig tærskel, så normal støj ikke sender en besked til nogen, og send alarmerne til en kanal, som dit team faktisk overvåger. Veljusterede målefiltre er forskellen mellem at opdage et brud og først at opdage det måneder senere.

Et målefilter matcher et filtermønster mod indkommende loghændelser og omdanner træffere til en CloudWatch-måling. JSON-mønstre målretter CloudTrail-felter som errorCode og eventName. Dæk uautoriserede kald, login uden MFA, brug af rodkontoen og netværksændringer. Filtre virker kun på nye hændelser, og de er særligt effektive, når de forbindes med en alarm og SNS til detektion i realtid.