Mengenali Lalu Lintas Mencurigakan dalam Flow Logs

Membaca catatan satu per satu adalah dasar; nilai sebenarnya terletak pada menemukan pola di antara banyak catatan yang mengungkap aktivitas berbahaya. Penyerang meninggalkan jejak jaringan, dan Flow Logs adalah tempat jejak tersebut muncul. Pelajaran ini membahas ciri-ciri yang dicari tim keamanan dalam data.

Pemindaian port terlihat ketika satu alamat sumber mengakses banyak port tujuan pada sebuah host dalam waktu singkat, biasanya dengan banyak tindakan REJECT. Pola ini mengungkap pengintaian, yaitu saat penyerang memetakan layanan yang terbuka. Menghitung port tujuan berbeda untuk setiap sumber merupakan cara yang andal untuk menemukannya.

Pemindaian jaringan adalah kebalikannya: satu sumber menghubungi port yang sama pada banyak IP tujuan untuk mencari host mana pun yang menjalankan layanan sasaran. Melihat satu srcaddr menyentuh seluruh subnet pada port 22 atau 445 merupakan tanda klasik penyerang yang mencari pijakan untuk dieksploitasi.

Eksfiltrasi muncul sebagai jumlah byte keluar yang sangat besar dari host internal ke alamat eksternal, terutama alamat baru atau asing. Server web yang biasanya hanya mengirim respons kecil tetapi tiba-tiba mengunggah gigabita data patut dicurigai. Melacak pihak yang paling banyak berkomunikasi berdasarkan byte keluar membantu menonjolkan kejadian seperti ini.

Membandingkan alamat tujuan dengan umpan intelijen ancaman yang berisi IP berbahaya yang telah diketahui dapat menandai komunikasi dengan server kendali dan kontrol. GuardDuty melakukan hal ini secara otomatis, tetapi Anda dapat menirunya dalam kueri Athena dengan menggabungkan Flow Logs dan daftar blokir IP untuk deteksi khusus.

Lalu lintas pada port atau protokol yang tidak biasa untuk peran suatu beban kerja merupakan peringatan. IRC keluar, Tor, atau port kumpulan penambangan mata uang kripto dari server yang seharusnya hanya menyajikan HTTPS dapat menunjukkan bahwa server telah disusupi. Menetapkan gambaran kondisi normal untuk setiap tingkat akan membuat penyimpangan ini mudah terlihat.

Setelah berhasil membobol satu host, penyerang bergerak ke samping. Pergerakan lateral terlihat sebagai koneksi internal-ke-internal yang menyimpang dari pola normal, misalnya server aplikasi tiba-tiba membuka sesi SSH atau SMB ke banyak rekan. Lalu lintas timur-barat yang tidak sesuai dengan arsitektur perlu diperiksa.

Pada skala besar, Anda menganalisis Flow Logs di Athena atas data di S3. SQL memungkinkan Anda mengelompokkan berdasarkan sumber, menghitung port berbeda, menjumlahkan byte keluar, dan memfilter berdasarkan tindakan. Beberapa kueri yang dirancang dengan baik dapat mengubah miliaran catatan menjadi daftar singkat aliran yang paling berisiko, jauh lebih cepat daripada peninjauan manual.

Untuk kecepatan, kirim Flow Logs ke CloudWatch Logs dan gunakan filter metrik serta alarm pada pola mencurigakan, atau alirkan data melalui filter langganan ke pendeteksi Lambda. Dengan demikian, pencarian setelah kejadian berubah menjadi pemberitahuan yang hampir waktu nyata dan mempersempit jendela serangan sebelum seseorang merespons.

Tidak semua anomali merupakan serangan. Scanner dari alat keamanan Anda sendiri, pemeriksaan kesehatan, dan pencadangan dapat menghasilkan pola yang tidak berbahaya. Menyetel deteksi dengan daftar izin untuk sumber yang dikenal dan tolok ukur volume normal akan menjaga keandalan peringatan, sehingga sinyal yang sebenarnya tidak hilang dalam derau.

Pendekatan terkuat menggabungkan deteksi terkelola dan kustom: biarkan GuardDuty menandai ancaman yang dikenal dari Flow Logs secara otomatis, gunakan Athena untuk pencarian ancaman kustom yang mendalam, dan pertahankan alarm CloudWatch untuk pola dengan prioritas tertinggi. Flow Logs adalah dasar bukti bersama yang memungkinkan ketiganya bekerja.

Cari pola berikut: pemindaian port (satu sumber, banyak port, REJECT), penyisiran (satu port, banyak host), eksfiltrasi (byte keluar berukuran besar ke IP baru), koneksi ke IP yang diketahui berbahaya, dan pergerakan lateral (lalu lintas timur-barat yang tidak biasa). Gunakan Athena untuk kueri mendalam, alarm CloudWatch untuk peringatan waktu nyata, dan GuardDuty untuk deteksi terkelola dengan menyaring derau yang tidak berbahaya.