Filtros de métricas para eventos de seguridad

Los registros sin procesar son detallados, pero pasivos. Un filtro de métricas analiza los eventos de registro entrantes de un grupo de registros, busca un patrón que usted define y convierte cada coincidencia en un punto de datos numérico de una métrica de CloudWatch. Esto conecta los registros de texto con el mundo de las métricas, donde puede representar tendencias en gráficos y, lo que es más importante, activar alarmas.

Las señales de seguridad suelen estar ocultas en registros comunes: un inicio de sesión fallido, una llamada de API no autorizada o un inicio de sesión en la consola sin MFA. Un filtro de métricas extrae exactamente esas líneas y las cuenta. Una vez que un evento de seguridad se convierte en una métrica, puede supervisarlo y generar alertas automáticamente, en lugar de esperar que alguien lo vea al desplazarse por la pantalla.

El patrón de filtro define qué se debe buscar. Para texto sin formato, pueden utilizarse términos simples; para registros JSON, puede buscar campos específicos, como { $.errorCode = "AccessDenied*" }. Los eventos de CloudTrail enviados a CloudWatch están en formato JSON, por lo que los patrones de filtro JSON permiten dirigirse a nombres de eventos y códigos de error precisos.

Cuando un evento de registro coincide, el filtro envía un valor a una métrica cuyo nombre usted especifica, dentro de un espacio de nombres de métricas. Normalmente, cada coincidencia incrementa la métrica en uno, pero también puede publicar un campo numérico del registro. Además, establece un valor predeterminado para que la métrica indique cero cuando no haya coincidencias, lo que mantiene las alarmas en buen estado.

AWS publica filtros recomendados para la supervisión al estilo de CIS: llamadas de API no autorizadas, inicios de sesión sin MFA, uso de la cuenta raíz, cambios en las políticas de IAM, cambios en los grupos de seguridad y cambios en la configuración de CloudTrail. Estos filtros corresponden directamente a puntos de detección de gran valor. Crear este conjunto proporciona una amplia cobertura de las acciones del plano de control más riesgosas de una cuenta.

Un filtro clásico busca eventos cuyo errorCode sea AccessDenied o UnauthorizedOperation. Un aumento repentino de estos eventos suele indicar que un atacante está comprobando qué puede hacer con una credencial robada. Contarlos como una métrica permite generar una alarma cuando la tasa supera un umbral y detectar el reconocimiento en una fase temprana.

Los cambios en los grupos de seguridad, las ACL de red o las tablas de enrutamiento pueden abrir discretamente una vía para un atacante. Un filtro de métricas aplicado a nombres de eventos como AuthorizeSecurityGroupIngress o CreateRoute hace visibles estos cambios. Como también se producen cambios legítimos, la alarma le indica que debe verificar que el cambio coincida con una solicitud aprobada, no que necesariamente haya un problema.

CloudWatch Logs Insights se utiliza para realizar consultas específicas y retrospectivas manualmente. Los filtros de métricas son continuos y proactivos: evalúan cada evento a medida que llega y alimentan las alarmas. Utilice Insights para explorar y los filtros de métricas para detectar. En los exámenes suele contrastarse la investigación reactiva con las alertas proactivas.

Los filtros solo se aplican a eventos nuevos posteriores a su creación; no analizan de forma retroactiva los registros antiguos. También existe un límite en el número de filtros de métricas por grupo de registros. Planifique de antemano su conjunto de detecciones y recuerde que el análisis histórico corresponde a Insights o Athena sobre datos archivados.

Un filtro de métricas por sí solo únicamente cuenta. Su valor aparece cuando adjunta una alarma de CloudWatch que supervisa la métrica y le notifica mediante SNS cuando se supera un umbral. La combinación de filtro de métricas, alarma y SNS es el patrón estándar para convertir una línea de registro sospechosa en una alerta en tiempo real para su equipo de seguridad.

Diseñe sus filtros en torno a las acciones más importantes: cambios de identidad, llamadas denegadas, modificaciones de red y actividad de la cuenta raíz. Asigne a cada uno un umbral razonable para que el ruido normal no genere alertas innecesarias y dirija las alertas a un canal que su equipo supervise realmente. Unos filtros de métricas bien ajustados marcan la diferencia entre detectar una intrusión y descubrirla meses después.

Un filtro de métricas compara un patrón de filtro con los eventos de registro entrantes y convierte las coincidencias en una métrica de CloudWatch. Los patrones JSON se dirigen a campos de CloudTrail como errorCode y eventName. Incluya llamadas no autorizadas, inicios de sesión sin MFA, uso de la cuenta raíz y cambios de red. Los filtros solo actúan sobre eventos nuevos y resultan especialmente útiles cuando se conectan a una alarma y a SNS para la detección en tiempo real.