Menyelidiki Insiden dengan Kueri SQL

Setelah CloudTrail dan Log Aliran dikatalogkan, investigasi menjadi serangkaian kueri SQL yang menyaring miliaran peristiwa menjadi beberapa peristiwa yang penting. Keterampilannya adalah mengetahui apa yang harus ditanyakan: siapa melakukan apa, dari mana, dan kapan. Pelajaran ini membahas pola kueri yang diandalkan para penyelidik.

Ketika suatu kredensial dicurigai telah disusupi, Anda mengueri semua tindakan yang dilakukan oleh prinsipal tersebut. Memfilter CloudTrail berdasarkan userIdentity.arn atau ID kunci akses akan menampilkan setiap panggilan API yang dilakukannya, secara berurutan. Linimasa tindakan penyerang ini sering kali menjadi keluaran paling berharga dalam suatu investigasi.

Memfilter berdasarkan sourceIPAddress menampilkan semua tindakan yang dilakukan dari alamat tertentu. Jika Anda memiliki satu IP mencurigakan dari temuan GuardDuty, cara ini menampilkan setiap panggilan yang dilakukan IP tersebut di berbagai layanan, membantu Anda menentukan cakupan dampak dan menemukan sumber daya yang disentuh penyerang.

Mengueri peristiwa yang errorCode-nya adalah AccessDenied atau UnauthorizedOperation akan mengungkap pengintaian: penyerang sedang menguji tindakan yang dapat dilakukan oleh kredensial curian. Ledakan penolakan dari satu prinsipal yang kemudian diikuti panggilan berhasil menunjukkan bahwa penyerang sedang mencari izin yang berfungsi, sebuah sinyal eskalasi yang jelas.

Perhatikan peristiwa IAM sensitif seperti CreateUser, AttachUserPolicy, CreateAccessKey, atau PutUserPolicy. Penyerang sering mencoba membangun persistensi dengan membuat identitas atau kunci baru. Mengueri nama-nama peristiwa ini akan dengan cepat mengungkap upaya untuk memperkuat pijakan melampaui akses awal.

Investigasi yang kuat menggabungkan sumber data: cocokkan tindakan prinsipal CloudTrail dengan Log Aliran VPC dari instans yang sama, atau dengan log ALB untuk permintaan yang dilayaninya. Mengorelasikan aktivitas bidang kendali dan jaringan akan merekonstruksi keseluruhan kisah serangan, bukan sekadar potongan-potongan yang terpisah.

Selalu batasi kueri pada rentang waktu menggunakan stempel waktu peristiwa. Ini memusatkan investigasi pada periode yang relevan dan, jika digabungkan dengan partisi, secara drastis mengurangi jumlah data yang dipindai serta biayanya. Memulai dengan rentang waktu yang luas lalu mempersempitnya merupakan alur yang alami seiring gambaran menjadi semakin jelas.

Agregasi mengungkap pola: gunakan GROUP BY pada IP sumber untuk menemukan sumber dengan aktivitas tertinggi, hitung jumlah nama peristiwa yang berbeda untuk setiap prinsipal guna mengukur luas aktivitas, atau hitung kesalahan dari waktu ke waktu untuk menemukan lonjakan. Ringkasan ini mengubah baris mentah menjadi tren yang mengarahkan Anda pada insiden sebenarnya.

Pendekatan SQL yang sama berlaku untuk Log Aliran di S3: temukan transfer keluar berukuran besar, hitung port yang ditolak untuk setiap sumber, atau tampilkan IP eksternal yang dihubungi suatu instans. Memadukan CloudTrail (apa yang dilakukan melalui API) dengan Log Aliran (apa yang berpindah di jaringan) memberikan kedua sisi cerita.

Simpan kueri investigasi yang telah terbukti sebagai kueri bernama atau tampilan agar tim Anda dapat menjalankannya kembali dengan cepat saat insiden berikutnya. Pustaka kueri yang telah diperiksa, seperti "semua tindakan oleh kunci akses" atau "panggilan yang ditolak dalam satu jam terakhir", mengubah pekerjaan ad hoc menjadi kemampuan respons yang dapat diulang.

Kueri menghasilkan bukti; bukti tersebut mendorong respons: cabut kunci, isolasi instans, dan hapus pengguna IAM yang berbahaya. Proses penguerian yang disiplin—mulai dari prinsipal, lalu IP, kemudian peristiwa eskalasi, dan akhirnya korelasi—memberikan pemahaman yang lengkap dan meyakinkan untuk menangani insiden dengan tepat.

Uji kemampuan Anda dalam mengueri investigasi.

Investigasi adalah kueri SQL atas log yang telah dikatalogkan. Mulailah dengan prinsipal atau IP sumber, buru panggilan yang ditolak untuk menemukan pengintaian, perhatikan peristiwa IAM seperti CreateAccessKey untuk mendeteksi eskalasi, dan batasi berdasarkan waktu semuanya. Kelompokkan dan hitung untuk menemukan pola, korelasikan CloudTrail dengan Log Aliran, lalu simpan kueri bernama yang telah diperiksa agar pengumpulan bukti menjadi kemampuan respons yang dapat diulang.