Detección de tráfico sospechoso en los registros de flujo

Leer registros individuales es la base; el valor real está en detectar patrones en muchos registros que delatan actividad maliciosa. Los atacantes dejan huellas de red, y Flow Logs es el lugar donde aparecen. En esta lección se describen los indicios que los equipos de seguridad buscan en los datos.

Un escaneo de puertos se manifiesta cuando una dirección de origen contacta con muchos puertos de destino de un host en un intervalo breve, normalmente con numerosas acciones REJECT. Este patrón revela una fase de reconocimiento en la que el atacante identifica los servicios abiertos. Contar los puertos de destino distintos por origen es una forma fiable de detectarlo.

Un barrido de red es lo contrario: un origen contacta con el mismo puerto en muchas IP de destino para buscar hosts que ejecuten un servicio concreto. Observar que un mismo srcaddr contacta con toda una subred en el puerto 22 o 445 es una señal clásica de que un atacante busca un punto de apoyo que pueda explotar.

La exfiltración aparece como un volumen inusualmente grande de bytes salientes desde un host interno hacia una dirección externa, especialmente si es nueva o extranjera. Un servidor web que normalmente sirve respuestas pequeñas y de repente carga gigabytes resulta sospechoso. Seguir los principales comunicadores por bytes salientes ayuda a detectar estos casos.

Comparar las direcciones de destino con fuentes de inteligencia de amenazas que contienen IP maliciosas conocidas permite detectar comunicaciones con servidores de comando y control. GuardDuty lo hace automáticamente, pero puede reproducirlo en consultas de Athena combinando Flow Logs con una lista de bloqueo de IP para crear detecciones personalizadas.

El tráfico en puertos o protocolos inusuales para la función de una carga de trabajo es una señal de advertencia. IRC, Tor o los puertos de pools de minería de criptomonedas salientes desde un servidor que solo debería ofrecer HTTPS sugieren una vulneración. Establecer una línea base de lo normal para cada nivel hace evidentes estas desviaciones.

Después de vulnerar un host, los atacantes se desplazan lateralmente. El movimiento lateral se manifiesta como conexiones internas que rompen los patrones normales, por ejemplo, cuando un servidor de aplicaciones comienza de repente a abrir sesiones SSH o SMB con muchos equipos vecinos. El tráfico este-oeste que no encaja con la arquitectura merece un análisis detenido.

A gran escala, puede analizar Flow Logs en Athena sobre los datos almacenados en S3. SQL permite agrupar por origen, contar puertos distintos, sumar bytes salientes y filtrar por acción. Unas pocas consultas bien diseñadas convierten miles de millones de registros en una lista breve de los flujos más arriesgados, mucho más rápido que una revisión manual.

Para reaccionar con rapidez, envíe Flow Logs a CloudWatch Logs y utilice filtros de métricas y alarmas sobre patrones sospechosos, o transmítalos mediante un filtro de suscripción a un detector de Lambda. Esto transforma la búsqueda posterior al incidente en alertas casi en tiempo real y reduce el margen de actuación del atacante antes de que alguien responda.

No toda anomalía es un ataque. Los escáneres de sus propias herramientas de seguridad, las comprobaciones de estado y las copias de seguridad generan patrones benignos. Ajustar las detecciones con listas de permitidos para fuentes conocidas y líneas base del volumen normal mantiene la fiabilidad de las alertas, para que la señal real no se pierda entre el ruido.

El enfoque más sólido combina detecciones administradas y personalizadas: permita que GuardDuty marque automáticamente las amenazas conocidas a partir de Flow Logs, use Athena para realizar búsquedas personalizadas exhaustivas y reserve las alarmas de CloudWatch para sus patrones de mayor prioridad. Flow Logs es la base de evidencias compartida que hace funcionar las tres herramientas.

Ponga a prueba sus habilidades para buscar amenazas.

Busque patrones: escaneos de puertos (un origen, muchos puertos, REJECT), reconocimientos (un puerto, muchos hosts), exfiltración (gran cantidad de bytes salientes hacia IP nuevas), contacto con una IP conocida como maliciosa y movimiento lateral (tráfico este-oeste inusual). Use Athena para consultas exhaustivas, las alarmas de CloudWatch para alertas en tiempo real y GuardDuty para detecciones administradas, filtrando el ruido benigno.