Detección de patrones de actividad anómalos

El objetivo de la investigación es reconocer patrones que indiquen un compromiso. Detective los muestra, pero debe saber cómo son. Esta lección trata los patrones anómalos que con mayor frecuencia indican que un atacante está actuando en un entorno de AWS.

Un pico de llamadas a la API repentino procedente de una entidad que normalmente permanece inactiva es una señal de alerta clásica. Los atacantes enumeran recursos y realizan muchas llamadas rápidamente. La comparación con la línea base de Detective hace que estos picos destaquen frente al ritmo normal de la entidad.

La actividad desde un país o una dirección IP nunca vistos antes para una entidad suele indicar que se han robado credenciales. Un rol que solo se utiliza desde su región corporativa comienza de repente a actuar desde otro continente: esto resulta muy sospechoso, especialmente si se combina con acciones inusuales.

Además del volumen, preste atención a los tipos de acciones. Si una identidad que normalmente solo lee datos empieza de repente a crear usuarios, asociar políticas o eliminar registros, esto indica un abuso de privilegios. Las acciones nuevas y sensibles son una evidencia más sólida que el simple número de llamadas.

Las primeras fases de un ataque se manifiestan como reconocimiento: numerosas llamadas de descripción y listado, sondeos de puertos o intentos de acceso fallidos mientras el atacante cartografía su entorno. Detectar el reconocimiento pronto, antes de que el atacante actúe, le ofrece la mejor oportunidad de contenerlo rápidamente.

Cuando una entidad está activa desde dos ubicaciones distantes en un intervalo de tiempo imposiblemente corto, se produce un desplazamiento imposible, lo que indica que más de una persona está utilizando la credencial. Este patrón es una señal casi inequívoca de que un secreto se ha filtrado y está siendo utilizado de forma indebida.

Un indicador de alta confianza es que un actor desactive la seguridad: deshabilite GuardDuty, detenga CloudTrail, elimine registros o cambie las reglas de configuración. Los usuarios legítimos rara vez hacen esto. Tanto Detective como GuardDuty señalan los intentos de dejar indefensas sus medidas de protección.

Las transferencias de datos salientes grandes o inusuales, especialmente hacia destinos desconocidos, sugieren una exfiltración. En el grafo, esto aparece como picos en el volumen de red o conexiones con nuevas direcciones IP externas. Correlacionarlo con una entidad comprometida confirma el robo.

Una anomalía puede ser inofensiva; varias juntas rara vez lo son. Una nueva ubicación, combinada con un pico de llamadas y la desactivación de registros, forma una historia sólida y correlacionada de compromiso. El grafo de Detective destaca por permitirle conectar estas señales para llegar a una conclusión fundada.

Un patrón peligroso es el movimiento lateral: un atacante compromete un recurso y lo utiliza para llegar a otros, desplazándose entre instancias, roles e incluso cuentas. En el grafo de comportamiento, esto aparece como una cadena de nuevas conexiones que se extiende desde la primera víctima. Detectar pronto el movimiento lateral es fundamental porque revela que el ataque se está expandiendo y no está contenido.

No todas las anomalías son ataques. Una implementación nueva, un empleado que ha cambiado de ubicación o un trabajo de automatización recién creado pueden parecer inusuales al principio. La disciplina consiste en correlacionar las señales y comprobar el contexto antes de actuar: ¿la actividad coincide con un cambio conocido?, ¿y hay varios indicadores que lo confirmen? Investigar en lugar de reaccionar evita esfuerzos desperdiciados e interrupciones innecesarias.

Entre los patrones anómalos que indican un compromiso se incluyen los picos de llamadas a la API, la actividad desde nuevas geolocalizaciones, las acciones de la API inusuales o sensibles, el reconocimiento, el desplazamiento imposible, los intentos de deshabilitar los controles de seguridad y los picos de exfiltración de datos. Una sola anomalía puede ser inofensiva, pero correlacionar varias permite llegar a una conclusión fundada que guíe la contención.