Repérer les schémas d'activité anormaux

Le bénéfice d’une investigation est de reconnaître les schémas qui signalent une compromission. Detective les met en évidence, mais vous devez savoir à quoi ils ressemblent. Cette leçon couvre les schémas anormaux qui indiquent le plus souvent qu’un attaquant est à l’œuvre dans un environnement AWS.

Un pic soudain d’appels d’API provenant d’une entité habituellement peu active est un signal d’alerte classique. Les attaquants recensent les ressources et effectuent rapidement de nombreux appels. La comparaison avec la référence de Detective rend ces pics évidents par rapport au rythme normal de l’entité.

Une activité provenant d’un pays ou d’une adresse IP jamais observé auparavant pour une entité indique souvent des identifiants volés. Un rôle utilisé uniquement depuis votre région d’entreprise qui agit soudainement depuis un autre continent est très suspect, en particulier si des actions inhabituelles l’accompagnent.

Au-delà du volume, observez les types d’actions. Une identité qui se contente normalement de lire des données et qui crée soudainement des utilisateurs, associe des politiques ou supprime des journaux signale un abus de privilèges. Les actions nouvelles et sensibles constituent des éléments plus probants que le simple nombre d’appels.

Les premières étapes d’une attaque se manifestent par de la reconnaissance : de nombreux appels de description et de listage, des sondages de ports ou des tentatives d’accès échouées, tandis que l’attaquant cartographie votre environnement. Détecter la reconnaissance tôt, avant que l’attaquant n’agisse, vous donne les meilleures chances de contenir rapidement l’incident.

Lorsqu’une entité est active depuis deux emplacements éloignés dans un délai impossible à respecter, on parle de déplacement impossible. Cela indique que les identifiants sont utilisés par plusieurs personnes. Ce schéma constitue un signe presque certain qu’un secret a fuité et qu’il est exploité.

Un indicateur très fiable est un acteur qui désactive la sécurité : désactivation de GuardDuty, arrêt de CloudTrail, suppression de journaux ou modification de règles de configuration. Les utilisateurs légitimes font rarement cela. Detective et GuardDuty signalent tous deux les tentatives visant à rendre vos défenses aveugles.

De grands transferts de données sortants ou des transferts inhabituels, en particulier vers des destinations inconnues, suggèrent une exfiltration. Dans le graphe, cela apparaît sous la forme de pics du volume réseau ou de connexions vers de nouvelles adresses IP externes. Corréler ces éléments avec une entité compromise confirme le vol.

Une anomalie isolée peut être inoffensive ; plusieurs anomalies réunies le sont rarement. Un nouvel emplacement associé à un pic d’appels et à la désactivation des journaux forme un ensemble fortement corrélé, caractéristique d’une compromission. Le graphe de Detective excelle à vous permettre de relier ces signaux pour parvenir à une conclusion fiable.

Un schéma dangereux est le déplacement latéral : un attaquant compromet une ressource, puis l’utilise pour en atteindre d’autres, en passant d’une instance à l’autre, d’un rôle à l’autre, voire d’un compte à l’autre. Dans le graphe des comportements, cela apparaît comme une chaîne de nouvelles connexions qui s’étend depuis la première victime. Détecter rapidement un déplacement latéral est essentiel, car cela révèle que l’attaque s’étend et n’est pas contenue.

Toute anomalie n’est pas une attaque. Un nouveau déploiement, le changement de lieu d’un employé ou une nouvelle tâche d’automatisation peuvent tous sembler inhabituels au premier abord. La bonne pratique consiste à corréler les signaux et à vérifier le contexte avant d’agir : l’activité correspond-elle à une modification connue et plusieurs indicateurs concordent-ils ? Enquêter plutôt que réagir évite de gaspiller des efforts et de provoquer des perturbations inutiles.

Identifiez un schéma de compromission.

Les schémas anormaux qui signalent une compromission comprennent les pics d’appels d’API, l’activité provenant de nouvelles géolocalisations, les actions d’API inhabituelles ou sensibles, la reconnaissance, les déplacements impossibles, les tentatives de désactivation des contrôles de sécurité et les pics d’exfiltration de données. Une anomalie isolée peut être inoffensive, mais la corrélation de plusieurs anomalies permet de parvenir à une conclusion fiable et de guider le confinement.