Filtres de métriques pour les événements de sécurité

Les journaux bruts sont riches, mais passifs. Un filtre de métriques analyse les événements de journal entrants dans un groupe de journaux, recherche un motif que vous définissez et transforme chaque correspondance en point de données numérique dans une métrique CloudWatch. Il fait le lien entre les journaux textuels et l’univers des métriques, dans lequel vous pouvez représenter les tendances sous forme de graphiques et, surtout, déclencher des alarmes.

Les signaux de sécurité sont souvent enfouis dans des journaux ordinaires : une connexion échouée, un appel d’API non autorisé, une connexion à la console sans MFA. Un filtre de métriques extrait précisément ces lignes et les compte. Dès qu’un événement de sécurité devient une métrique, vous pouvez le surveiller et déclencher automatiquement une alerte, au lieu d’espérer qu’une personne le remarque au milieu du défilement.

Le motif de filtre définit les éléments à rechercher. Pour du texte brut, il peut s’agir de termes simples ; pour les journaux JSON, il peut cibler des champs précis, comme { $.errorCode = "AccessDenied*" }. Les événements CloudTrail transmis à CloudWatch sont au format JSON : les motifs de filtre JSON vous permettent donc de cibler des noms d’événements et des codes d’erreur précis.

Lorsqu’un événement de journal correspond au motif, le filtre envoie une valeur vers une métrique dont vous indiquez le nom, dans un espace de noms de métriques. En général, chaque correspondance incrémente la métrique de un, mais vous pouvez également publier un champ numérique du journal. Vous définissez aussi une valeur par défaut afin que la métrique indique zéro lorsqu’aucun événement ne correspond, ce qui permet aux alarmes de rester fiables.

AWS publie des filtres recommandés pour la surveillance de type CIS : appels d’API non autorisés, connexion sans MFA, utilisation du compte racine, modifications des stratégies IAM, modifications des groupes de sécurité et modifications de la configuration de CloudTrail. Ils correspondent directement à des points de détection à forte valeur. Construire cet ensemble vous donne une couverture étendue des actions du plan de contrôle les plus risquées d’un compte.

Un filtre classique recherche les événements dont le errorCode est AccessDenied ou UnauthorizedOperation. Une augmentation soudaine de ces événements signifie souvent qu’un attaquant teste ce qu’un identifiant volé lui permet de faire. Les compter dans une métrique permet de déclencher une alarme lorsque le taux dépasse un seuil et de détecter rapidement la reconnaissance.

Les modifications des groupes de sécurité, des ACL réseau ou des tables de routage peuvent ouvrir discrètement une voie à un attaquant. Un filtre de métriques portant sur des noms d’événements comme AuthorizeSecurityGroupIngress ou CreateRoute les met en évidence. Comme des modifications légitimes se produisent également, l’alarme vous indique de vérifier que la modification correspond à une demande approuvée, et non qu’un problème est forcément survenu.

CloudWatch Logs Insights sert aux interrogations ponctuelles et rétrospectives que vous effectuez manuellement. Les filtres de métriques sont continus et proactifs : ils évaluent chaque événement à son arrivée et alimentent les alarmes. Utilisez Insights pour explorer et les filtres de métriques pour détecter. L’examen oppose souvent l’investigation réactive aux alertes proactives.

Les filtres s’appliquent uniquement aux nouveaux événements survenant après leur création ; ils n’analysent pas rétroactivement les anciens journaux. Le nombre de filtres de métriques par groupe de journaux est également limité. Planifiez votre ensemble de détection à l’avance et souvenez-vous que l’analyse historique relève toujours d’Insights ou d’Athena sur les données archivées.

Un filtre de métriques se contente de compter. Il prend toute sa valeur lorsque vous lui associez une alarme CloudWatch qui surveille la métrique et vous avertit via SNS lorsqu’un seuil est dépassé. Filtre de métriques, alarme et SNS constituent le modèle standard pour transformer une ligne de journal suspecte en alerte en temps réel destinée à votre équipe de sécurité.

Concevez vos filtres autour des actions les plus importantes : modifications d’identités, appels refusés, modifications du réseau et activité du compte racine. Définissez pour chacune un seuil raisonnable afin que le bruit normal ne déclenche pas d’alerte inutile, et acheminez les alertes vers un canal réellement surveillé par votre équipe. Des filtres de métriques bien réglés font la différence entre détecter une compromission et la découvrir des mois plus tard.

Vérifiez votre compréhension des filtres de métriques.

Un filtre de métriques compare un motif de filtre aux événements de journal entrants et convertit les correspondances en métrique CloudWatch. Les motifs JSON ciblent des champs CloudTrail comme errorCode et eventName. Couvrez les appels non autorisés, les connexions sans MFA, l’utilisation du compte racine et les modifications réseau. Les filtres agissent uniquement sur les nouveaux événements et sont particulièrement efficaces lorsqu’ils sont reliés à une alarme et à SNS pour assurer une détection en temps réel.