Investigación de incidentes con consultas SQL

Con CloudTrail y Flow Logs catalogados, una investigación se convierte en una serie de consultas SQL que reducen miles de millones de eventos a los pocos que importan. La habilidad consiste en saber qué preguntar: quién hizo qué, desde dónde y cuándo. Esta lección cubre los patrones de consulta en los que se basan los investigadores.

Cuando se sospecha que una credencial ha sido comprometida, debe consultar todas las acciones realizadas por esa entidad principal. Filtrar CloudTrail por userIdentity.arn o por el ID de la clave de acceso muestra todas las llamadas a la API realizadas por ella, en orden. Esta cronología de las acciones del atacante suele ser el resultado más valioso de una investigación.

Filtrar por sourceIPAddress muestra todo lo que se hizo desde una dirección determinada. Si tiene una IP sospechosa procedente de un hallazgo de GuardDuty, esto revela todas las llamadas que realizó en los distintos servicios, lo que le ayuda a determinar el alcance del incidente e identificar los recursos que tocó el atacante.

Consultar los eventos cuyo errorCode sea AccessDenied o UnauthorizedOperation revela actividad de reconocimiento: un atacante está probando qué puede hacer con una credencial robada. Una ráfaga de denegaciones de una entidad principal seguida de una llamada correcta muestra que está buscando un permiso que funcione, una señal clara de escalada.

Preste atención a eventos IAM sensibles, como CreateUser, AttachUserPolicy, CreateAccessKey o PutUserPolicy. A menudo, un atacante intenta establecer persistencia mediante la creación de nuevas identidades o claves. Consultar estos nombres de evento revela rápidamente los intentos de consolidar el acceso más allá de la entrada inicial.

Las investigaciones avanzadas unen fuentes de datos: relacionan las acciones de una entidad principal de CloudTrail con los VPC Flow Logs de la misma instancia o con los registros de ALB correspondientes a las solicitudes que atendió. Correlacionar la actividad del plano de control con la actividad de red permite reconstruir la historia completa del ataque, en lugar de obtener fragmentos aislados.

Limite siempre las consultas a una ventana temporal mediante la marca de tiempo del evento. Esto centra la investigación en el periodo relevante y, combinado con las particiones, reduce drásticamente la cantidad de datos analizados y el coste. Comenzar con un intervalo amplio y acotarlo después es un ritmo natural a medida que el panorama se aclara.

Las agregaciones revelan patrones: use GROUP BY con la IP de origen para encontrar los orígenes con más actividad, cuente los nombres de evento distintos por entidad principal para evaluar el alcance de la actividad o contabilice los errores a lo largo del tiempo para detectar un pico. Estos resúmenes convierten las filas sin procesar en tendencias que le orientan hacia el incidente real.

El mismo enfoque SQL se aplica a los Flow Logs almacenados en S3: puede encontrar grandes transferencias salientes, contar los puertos rechazados por origen o enumerar las IP externas con las que se comunicó una instancia. Combinar CloudTrail (qué se hizo mediante la API) con Flow Logs (qué circuló por la red) proporciona las dos partes de la historia.

Guarde las consultas de investigación que ya haya validado como named queries o vistas, para que su equipo pueda volver a ejecutarlas rápidamente durante el próximo incidente. Una biblioteca de consultas verificadas, como "todas las acciones de una clave de acceso" o "llamadas denegadas en la última hora", convierte el trabajo puntual en una capacidad de respuesta repetible.

Las consultas producen evidencias, y esas evidencias guían la respuesta: revoque la clave, aísle la instancia y elimine el usuario IAM malicioso. Un proceso disciplinado de consulta —primero la entidad principal, después la IP, luego los eventos de escalada y, por último, la correlación— le proporciona la comprensión completa y fundamentada que necesita para contener correctamente un incidente.

Compruebe sus conocimientos sobre las consultas de investigación.

Las investigaciones son consultas SQL sobre registros catalogados. Comience con una entidad principal o una IP de origen, busque llamadas denegadas para detectar reconocimiento, supervise eventos IAM como CreateAccessKey para identificar la escalada y limite todo por tiempo. Agrupe y cuente para encontrar patrones, correlacione CloudTrail con Flow Logs y guarde named queries verificadas para convertir la recopilación de evidencias en una capacidad de respuesta repetible.