Verdächtigen Datenverkehr in Flow Logs erkennen

Das Lesen einzelner Datensätze bildet die Grundlage. Der eigentliche Wert liegt jedoch darin, Muster in vielen Datensätzen zu erkennen, die auf bösartige Aktivitäten hindeuten. Angreifer hinterlassen Netzwerkspuren, und in Flow Logs werden diese Spuren sichtbar. In dieser Lektion geht es um die Signaturen, nach denen Sicherheitsteams in den Daten suchen.

Ein Portscan zeigt sich darin, dass eine Quelladresse innerhalb kurzer Zeit viele Zielports auf einem Host kontaktiert, meist mit zahlreichen REJECT-Aktionen. Dieses Muster weist auf Reconnaissance hin, bei der ein Angreifer ermittelt, welche Dienste geöffnet sind. Die Anzahl unterschiedlicher Zielports pro Quelle ist eine zuverlässige Methode, solche Aktivitäten zu erkennen.

Ein Netzwerksweep ist das Gegenteil: Eine Quelle kontaktiert denselben Port auf vielen Ziel-IP-Adressen und sucht nach einem Host, auf dem der gewünschte Dienst ausgeführt wird. Wenn eine srcaddr ein gesamtes Subnetz über Port 22 oder 445 kontaktiert, ist das ein klassisches Zeichen dafür, dass ein Angreifer nach einem Einstiegspunkt sucht.

Exfiltration zeigt sich durch ungewöhnlich große ausgehende Byte-Anzahlen von einem internen Host an eine externe Adresse, insbesondere an eine neue oder ausländische Adresse. Wenn ein Webserver, der normalerweise kleine Antworten liefert, plötzlich Gigabytes hochlädt, ist das verdächtig. Wenn Sie die Kommunikationspartner nach ausgehenden Bytes sortieren, werden solche Fälle sichtbar.

Der Abgleich von Zieladressen mit Threat-Intelligence-Feeds bekannter bösartiger IPs macht die Kommunikation mit Command-and-Control-Servern sichtbar. GuardDuty erledigt dies automatisch. Sie können den Vorgang jedoch auch in Athena-Abfragen nachbilden, indem Sie Flow Logs mit einer IP-Blocklist verknüpfen und so eigene Erkennungsregeln umsetzen.

Datenverkehr über für die Rolle eines Workloads ungewöhnliche Ports oder Protokolle ist ein Warnsignal. Ausgehendes IRC, Tor oder Verbindungen zu Ports von Cryptocurrency-Mining-Pools auf einem Server, der ausschließlich HTTPS bereitstellen sollte, deutet auf eine Kompromittierung hin. Wenn Sie für jede Ebene ein Ausgangsprofil des normalen Verhaltens erstellen, werden solche Abweichungen offensichtlich.

Nach dem Eindringen in einen Host bewegen sich Angreifer seitlich im Netzwerk. Laterale Bewegung zeigt sich durch interne Verbindungen, die von normalen Mustern abweichen, etwa wenn ein Anwendungsserver plötzlich SSH- oder SMB-Sitzungen zu vielen anderen Hosts öffnet. East-West-Datenverkehr, der nicht zur Architektur passt, sollte untersucht werden.

In großem Maßstab analysieren Sie Flow Logs mit Athena über die in S3 gespeicherten Daten. Mit SQL können Sie nach Quelle gruppieren, unterschiedliche Ports zählen, ausgehende Bytes summieren und nach der Aktion filtern. Einige gut formulierte Abfragen reduzieren Milliarden von Datensätzen auf eine kurze Liste der riskantesten Datenflüsse – deutlich schneller als eine manuelle Prüfung.

Für eine schnelle Reaktion senden Sie Flow Logs an CloudWatch Logs und verwenden Metrikfilter und Alarme für verdächtige Muster. Alternativ können Sie die Daten über einen Subscription Filter an einen Lambda-Detektor streamen. So wird die nachträgliche Suche zu einer nahezu in Echtzeit erfolgenden Alarmierung, wodurch sich das Zeitfenster des Angreifers verkürzt, bevor jemand reagiert.

Nicht jede Anomalie ist ein Angriff. Scanner Ihrer eigenen Sicherheitstools, Zustandsprüfungen und Backups erzeugen harmlose Muster. Wenn Sie Erkennungen mit Allow-Lists für bekannte Quellen und Basiswerten für das normale Volumen abstimmen, bleiben Warnungen zuverlässig und echte Signale gehen nicht im Rauschen unter.

Der stärkste Ansatz kombiniert verwaltete und benutzerdefinierte Erkennung: Lassen Sie GuardDuty bekannte Bedrohungen aus Flow Logs automatisch markieren, verwenden Sie Athena für eine detaillierte benutzerdefinierte Suche und behalten Sie CloudWatch alarms für Ihre wichtigsten Muster bei. Flow Logs sind die gemeinsame Beweisgrundlage, auf der alle drei Dienste aufbauen.

Testen Sie Ihre Fähigkeiten bei der Bedrohungssuche.

Suchen Sie nach Mustern: port scans (eine Quelle, viele Ports, REJECTs), sweeps (ein Port, viele Hosts), exfiltration (große Mengen ausgehender Bytes an neue IPs), Kontakt zu einer known-bad IP und lateral movement (ungewöhnlicher Ost-West-Datenverkehr). Verwenden Sie Athena für detaillierte Abfragen, CloudWatch alarms für Warnungen in Echtzeit und GuardDuty für verwaltete Erkennung. Blenden Sie dabei harmlose Rauschen aus.