Anomale Aktivitätsmuster erkennen

Der Nutzen einer Untersuchung besteht darin, Muster zu erkennen, die auf eine Kompromittierung hindeuten. Detective macht diese sichtbar, aber Sie müssen wissen, wie sie aussehen. In dieser Lektion geht es um die anomalen Muster, die am häufigsten darauf hinweisen, dass ein Angreifer in einer AWS-Umgebung aktiv ist.

Ein plötzlicher Anstieg der API-Aufrufe einer normalerweise wenig aktiven Entität ist ein klassisches Warnsignal. Angreifer zählen Ressourcen auf und führen in kurzer Zeit zahlreiche Aufrufe aus. Durch den Baseline-Vergleich von Detective werden solche Spitzen gegenüber dem normalen Rhythmus der Entität deutlich sichtbar.

Aktivitäten aus einem Land oder von einer IP-Adresse, die für eine Entität bisher unbekannt sind, deuten häufig auf gestohlene Zugangsdaten hin. Wenn eine Rolle, die bisher nur aus Ihrer Unternehmensregion verwendet wurde, plötzlich von einem anderen Kontinent aus aktiv ist, ist das äußerst verdächtig – insbesondere in Verbindung mit ungewöhnlichen Aktionen.

Achten Sie nicht nur auf das Volumen, sondern auch auf die Art der Aktionen. Wenn eine Identität, die normalerweise nur Daten liest, plötzlich Benutzer anlegt, Richtlinien zuweist oder Protokolle löscht, weist dies auf einen Missbrauch von Berechtigungen hin. Neue, sensible Aktionen sind aussagekräftigere Belege als die reine Anzahl der Aufrufe.

Frühe Angriffsphasen zeigen sich als Aufklärung: zahlreiche Describe- und List-Aufrufe, Port-Scans oder fehlgeschlagene Zugriffsversuche, während der Angreifer Ihre Umgebung kartiert. Wenn Sie Aufklärungsaktivitäten früh erkennen, bevor der Angreifer handelt, haben Sie die besten Chancen auf eine schnelle Eindämmung.

Wenn eine Entität innerhalb eines unmöglich kurzen Zeitraums von zwei weit voneinander entfernten Standorten aus aktiv ist, handelt es sich um eine unmögliche Reise. Dies weist darauf hin, dass das Zugangselement von mehr als einer Person oder Instanz verwendet wird. Dieses Muster ist ein nahezu sicherer Hinweis darauf, dass ein Geheimnis offengelegt und missbraucht wird.

Ein zuverlässiges Indiz ist ein Akteur, der die Sicherheitsfunktionen abschaltet: GuardDuty deaktiviert, CloudTrail anhält, Protokolle löscht oder Konfigurationsregeln ändert. Legitime Benutzer tun dies nur selten. Sowohl Detective als auch GuardDuty kennzeichnen Versuche, Ihre Abwehrmaßnahmen zu blenden.

Große oder ungewöhnliche ausgehende Datenübertragungen, insbesondere an unbekannte Ziele, deuten auf eine Exfiltration hin. Im Graphen zeigt sich dies als Spitzen beim Netzwerkvolumen oder als Verbindungen zu neuen externen IPs. Wenn Sie dies mit einer kompromittierten Entität korrelieren, bestätigt dies den Datendiebstahl.

Eine einzelne Anomalie kann harmlos sein; mehrere zusammen sind es nur selten. Ein neuer Standort, eine Spitze bei den Aufrufen und die Deaktivierung von Protokollen ergeben gemeinsam ein starkes, korreliertes Bild einer Kompromittierung. Der Graph von Detective eignet sich besonders gut, um diese Signale zu verknüpfen und zu einer fundierten Schlussfolgerung zu gelangen.

Ein gefährliches Muster ist die laterale Bewegung: Ein Angreifer kompromittiert eine Ressource und nutzt sie, um weitere zu erreichen, indem er zwischen Instanzen, Rollen oder sogar Accounts wechselt. Im Verhaltensgraphen zeigt sich dies als Kette neuer Verbindungen, die sich vom ersten Opfer nach außen ausbreiten. Laterale Bewegungen früh zu erkennen, ist entscheidend, da sie zeigen, dass sich der Angriff ausweitet und nicht eingedämmt ist.

Nicht jede Anomalie ist ein Angriff. Eine neue Bereitstellung, ein umgezogener Mitarbeiter oder ein neuer Automatisierungsauftrag kann zunächst ungewöhnlich wirken. Entscheidend ist, vor dem Handeln Signale zu korrelieren und den Kontext zu prüfen: Passt die Aktivität zu einer bekannten Änderung, und stimmen mehrere Indikatoren überein? Wenn Sie untersuchen statt sofort zu reagieren, vermeiden Sie unnötigen Aufwand und vermeidbare Betriebsunterbrechungen.

Erkennen Sie ein Kompromittierungsmuster.

Zu den anomalen Mustern, die auf eine Kompromittierung hindeuten, gehören Spitzen bei API-Aufrufen, Aktivitäten von neuen Geolokalisierungen, ungewöhnliche oder sensible API-Aktionen, Aufklärungsaktivitäten, unmögliche Reisen, Versuche, Sicherheitskontrollen zu deaktivieren, sowie Spitzen bei der Datenexfiltration. Eine einzelne Anomalie kann harmlos sein. Die Korrelation mehrerer Anomalien ermöglicht jedoch eine fundierte Schlussfolgerung, auf deren Grundlage die Eindämmung eingeleitet werden kann.