Vorfälle mit SQL-Abfragen untersuchen

Wenn CloudTrail und Flow Logs katalogisiert sind, besteht eine Untersuchung aus einer Reihe von SQL-Abfragen, die Milliarden von Ereignissen auf die wenigen relevanten eingrenzen. Entscheidend ist, die richtigen Fragen zu stellen: Wer hat was, von wo aus und wann getan? Diese Lektion behandelt die Abfragemuster, auf die sich Untersuchende verlassen.

Wenn der Verdacht besteht, dass ein Zugang kompromittiert wurde, fragen Sie alle Aktionen dieses Principals ab. Durch das Filtern von CloudTrail nach userIdentity.arn oder der Access-Key-ID werden alle von diesem Zugang ausgeführten API-Aufrufe in der richtigen Reihenfolge sichtbar. Diese Zeitleiste der Aktionen des Angreifers ist oft das wertvollste Ergebnis einer Untersuchung.

Das Filtern nach sourceIPAddress zeigt alle Aktivitäten, die von einer bestimmten Adresse aus durchgeführt wurden. Wenn Sie aus einem GuardDuty-Fund bereits eine verdächtige IP-Adresse haben, werden dadurch alle von ihr über verschiedene Services ausgeführten Aufrufe sichtbar. So können Sie das Ausmaß des Angriffs bestimmen und erkennen, auf welche Ressourcen der Angreifer zugegriffen hat.

Eine Abfrage nach Ereignissen, bei denen errorCode AccessDenied oder UnauthorizedOperation lautet, offenbart Aufklärung: Ein Angreifer testet, was mit einem gestohlenen Zugang möglich ist. Eine Folge von Ablehnungen durch einen Principal, auf die ein erfolgreicher Aufruf folgt, zeigt, dass der Angreifer eine funktionierende Berechtigung gefunden hat – ein klares Signal für eine Rechteausweitung.

Achten Sie auf sensible IAM-Ereignisse wie CreateUser, AttachUserPolicy, CreateAccessKey oder PutUserPolicy. Angreifer versuchen häufig, durch das Erstellen neuer Identitäten oder Schlüssel Persistenz zu etablieren. Durch eine Abfrage dieser Ereignisnamen lassen sich Versuche, den Zugriff über den ursprünglichen Einstiegspunkt hinaus auszubauen, schnell erkennen.

Leistungsstarke Untersuchungen verknüpfen Datenquellen: Ordnen Sie die Aktionen eines CloudTrail-Principals den VPC Flow Logs derselben Instance oder den ALB-Logs der von ihr bedienten Anfragen zu. Die Korrelation von Aktivitäten auf der Control Plane und im Netzwerk rekonstruiert die vollständige Angriffsgeschichte statt isolierter Fragmente.

Begrenzen Sie Abfragen immer mithilfe des Ereigniszeitstempels auf ein Zeitfenster. Dadurch konzentriert sich die Untersuchung auf den relevanten Zeitraum. In Verbindung mit Partitionen werden außerdem die Menge der gescannten Daten und die Kosten erheblich reduziert. Zunächst einen breiten Zeitraum zu wählen und ihn dann einzugrenzen, ist ein natürlicher Ablauf, während sich das Gesamtbild klärt.

Aggregationen machen Muster sichtbar: Verwenden Sie GROUP BY für die Quell-IP, um die aktivsten Kommunikationspartner zu finden, zählen Sie die unterschiedlichen Ereignisnamen je Principal, um den Umfang der Aktivitäten einzuschätzen, oder summieren Sie Fehler über die Zeit, um Spitzen zu erkennen. Diese Zusammenfassungen verwandeln Rohdaten in Trends, die Sie zum eigentlichen Incident führen.

Für Flow Logs in S3 gilt derselbe SQL-Ansatz: Finden Sie große ausgehende Datenübertragungen, zählen Sie abgewiesene Ports je Quelle oder listen Sie externe IPs auf, mit denen eine Instance kommuniziert hat. Die Kombination aus CloudTrail (was über die API getan wurde) und Flow Logs (was über das Netzwerk übertragen wurde) liefert beide Hälften des Gesamtbilds.

Speichern Sie bewährte Untersuchungsabfragen als benannte Abfragen oder Views, damit Ihr Team sie beim nächsten Incident schnell erneut ausführen kann. Eine Bibliothek geprüfter Abfragen wie „alle Aktionen eines Access Keys“ oder „abgewiesene Aufrufe der letzten Stunde“ macht aus einmaligem Aufwand eine wiederholbare Fähigkeit zur Incident-Reaktion.

Abfragen liefern Beweise; diese Beweise bestimmen die Reaktion: Widerrufen Sie den Schlüssel, isolieren Sie die Instance oder entfernen Sie den unbefugten IAM-Benutzer. Ein disziplinierter Abfrageprozess – zuerst der Principal, dann die IP, anschließend Rechteausweitungsereignisse und schließlich die Korrelation – liefert das sichere und vollständige Verständnis, das Sie benötigen, um einen Incident angemessen einzudämmen.

Testen Sie Ihre Kenntnisse über Untersuchungsabfragen.

Untersuchungen bestehen aus SQL-Abfragen über katalogisierte Logs. Beginnen Sie mit einem Principal oder einer Quell-IP, suchen Sie zur Aufklärung nach abgewiesenen Aufrufen, achten Sie auf IAM-Ereignisse wie CreateAccessKey als Hinweise auf eine Rechteausweitung und begrenzen Sie alles zeitlich. Gruppieren und zählen Sie, um Muster zu erkennen, korrelieren Sie CloudTrail mit Flow Logs und speichern Sie geprüfte benannte Abfragen, damit die Beweiserhebung zu einer wiederholbaren Fähigkeit zur Incident-Reaktion wird.