Repérer le trafic suspect dans les journaux de flux

La lecture des enregistrements individuels est la base ; la véritable valeur consiste à repérer des schémas dans de nombreux enregistrements qui trahissent une activité malveillante. Les attaquants laissent des traces réseau, et c’est dans les journaux de flux que ces traces apparaissent. Cette leçon présente les signatures recherchées par les équipes de sécurité dans les données.

Une analyse de ports se manifeste lorsqu’une même adresse source contacte de nombreux ports de destination sur un hôte dans un court intervalle, généralement avec de nombreuses actions REJECT. Ce schéma révèle une reconnaissance, durant laquelle un attaquant cartographie les services ouverts. Compter les ports de destination distincts par source est une méthode fiable pour la détecter.

Un balayage réseau est l’inverse : une source contacte le même port sur de nombreuses adresses IP de destination afin de rechercher les hôtes exécutant un service ciblé. Voir un srcaddr toucher tout un sous-réseau sur le port 22 ou 445 est un signe classique qu’un attaquant recherche un point d’appui à exploiter.

L’exfiltration se manifeste par des volumes d’octets sortants exceptionnellement élevés, envoyés depuis un hôte interne vers une adresse externe, en particulier une adresse nouvelle ou étrangère. Un serveur web qui fournit normalement de petites réponses et se met soudainement à téléverser plusieurs gigaoctets est suspect. Suivre les principaux émetteurs en fonction des octets sortants aide à repérer ces comportements.

La comparaison des adresses de destination avec des flux de renseignement sur les menaces contenant des adresses IP malveillantes connues permet de signaler les communications avec des serveurs de commande et de contrôle. GuardDuty le fait automatiquement, mais vous pouvez reproduire cette analyse dans Athena en joignant les journaux de flux à une liste de blocage d’adresses IP pour créer une détection personnalisée.

Un trafic utilisant des ports ou protocoles inhabituels pour le rôle d’une charge de travail est un signal d’alerte. Du trafic IRC sortant, Tor ou destiné aux ports de pools de minage de cryptomonnaies depuis un serveur qui ne devrait fournir que HTTPS suggère une compromission. Établir une référence du comportement normal de chaque zone rend ces écarts évidents.

Après avoir compromis un hôte, les attaquants se déplacent latéralement. Le mouvement latéral se manifeste par des connexions internes à internes qui rompent les schémas habituels, par exemple lorsqu’un serveur d’application ouvre soudainement des sessions SSH ou SMB vers de nombreux pairs. Tout trafic est-ouest qui ne correspond pas à l’architecture mérite une attention particulière.

À grande échelle, vous analysez les journaux de flux dans Athena sur les données stockées dans S3. SQL vous permet de regrouper par source, de compter les ports distincts, de totaliser les octets sortants et de filtrer selon l’action. Quelques requêtes bien conçues transforment des milliards d’enregistrements en une courte liste des flux les plus risqués, bien plus rapidement qu’un examen manuel.

Pour gagner en rapidité, envoyez les journaux de flux vers CloudWatch Logs et utilisez des filtres de métriques et des alarmes sur les schémas suspects, ou diffusez-les au moyen d’un filtre d’abonnement vers un détecteur Lambda. Cette approche transforme la recherche a posteriori en alertes quasi instantanées et réduit la fenêtre d’action de l’attaquant avant toute intervention.

Toute anomalie n'est pas une attaque. Les scanners de vos propres outils de sécurité, les contrôles d'état et les sauvegardes créent des schémas bénins. Ajuster les détections à l'aide de listes d'autorisation pour les sources connues et de références pour le volume normal permet de conserver des alertes fiables, afin que le véritable signal ne soit pas perdu dans le bruit.

L'approche la plus efficace combine détection gérée et détection personnalisée : laissez GuardDuty signaler automatiquement les menaces connues à partir des journaux de flux, utilisez Athena pour effectuer des recherches personnalisées approfondies et conservez les alarmes CloudWatch pour vos schémas les plus prioritaires. Les journaux de flux constituent la base de preuves commune qui permet aux trois outils de fonctionner.

Testez vos compétences en recherche de menaces.

Recherchez les schémas suivants : les balayages de ports (une source, de nombreux ports, des REJECT), les explorations (un port, de nombreux hôtes), l'exfiltration (un grand nombre d'octets sortants vers de nouvelles adresses IP), les contacts avec des adresses IP connues comme malveillantes et les mouvements latéraux (trafic est-ouest inhabituel). Utilisez Athena pour les requêtes approfondies, les alarmes CloudWatch pour les alertes en temps réel et GuardDuty pour la détection gérée, en éliminant le bruit bénin.