Mengenali Pola Aktivitas Anomali

Manfaat investigasi adalah mengenali pola yang menandakan penyusupan. Detective menampilkannya, tetapi Anda harus mengetahui bentuknya. Pelajaran ini membahas pola anomali yang paling sering berarti penyerang sedang beraksi di lingkungan AWS.

Lonjakan panggilan API secara tiba-tiba dari entitas yang biasanya tidak banyak beraktivitas merupakan tanda bahaya klasik. Penyerang menghitung sumber daya dan melakukan banyak panggilan dengan cepat. Perbandingan dengan tolok ukur Detective membuat lonjakan tersebut terlihat jelas dibandingkan ritme normal entitas.

Aktivitas dari negara atau IP yang belum pernah terlihat sebelumnya pada suatu entitas sering kali berarti kredensial telah dicuri. Peran yang biasanya hanya digunakan dari Wilayah perusahaan Anda tiba-tiba beraktivitas dari benua lain sangat mencurigakan, terutama jika disertai tindakan yang tidak biasa.

Selain volumenya, perhatikan jenis tindakannya. Identitas yang biasanya hanya membaca data lalu tiba-tiba membuat pengguna, memasang kebijakan, atau menghapus log menandakan penyalahgunaan hak istimewa. Tindakan baru yang sensitif merupakan bukti yang lebih kuat daripada sekadar jumlah panggilan.

Tahap awal serangan terlihat sebagai pengintaian: banyak panggilan untuk menjelaskan dan mencantumkan sumber daya, pemindaian port, atau upaya akses yang gagal saat penyerang memetakan lingkungan Anda. Menemukan pengintaian lebih awal, sebelum penyerang bertindak, memberi Anda peluang terbaik untuk melakukan penahanan dengan cepat.

Entitas yang aktif dari dua lokasi yang berjauhan dalam waktu yang sangat singkat dan tidak mungkin, atau perjalanan yang mustahil, menunjukkan bahwa kredensial tersebut digunakan oleh lebih dari satu pihak. Pola ini hampir dapat dipastikan menandakan bahwa suatu rahasia telah bocor dan disalahgunakan.

Indikator dengan tingkat keyakinan tinggi adalah pelaku yang mematikan keamanan: menonaktifkan GuardDuty, menghentikan CloudTrail, menghapus log, atau mengubah aturan konfigurasi. Pengguna yang sah jarang melakukan hal ini. Detective dan GuardDuty sama-sama menandai upaya untuk membutakan pertahanan Anda.

Transfer data keluar dalam jumlah besar atau tidak biasa, terutama ke tujuan yang tidak dikenal, mengindikasikan eksfiltrasi. Dalam grafik, hal ini terlihat sebagai lonjakan volume jaringan atau koneksi ke IP eksternal baru. Mengorelasikan aktivitas ini dengan entitas yang disusupi mengonfirmasi pencurian tersebut.

Satu anomali mungkin tidak berbahaya, tetapi beberapa anomali yang muncul bersama hampir selalu berarti sebaliknya. Lokasi baru, lonjakan panggilan, dan penonaktifan log secara bersamaan membentuk rangkaian bukti kuat tentang penyusupan. Grafik Detective sangat membantu Anda menghubungkan sinyal-sinyal ini menjadi kesimpulan yang meyakinkan.

Pola yang berbahaya adalah pergerakan lateral: penyerang menyusupi satu sumber daya lalu menggunakannya untuk menjangkau sumber daya lain, berpindah dari satu instans, peran, atau bahkan akun ke yang lain. Dalam grafik perilaku, hal ini terlihat sebagai rangkaian koneksi baru yang menyebar keluar dari korban pertama. Menemukan pergerakan lateral sejak dini sangat penting karena menunjukkan bahwa serangan meluas, bukan telah tertahan.

Tidak setiap anomali merupakan serangan. Deployment baru, karyawan yang berpindah lokasi, atau pekerjaan otomatisasi yang baru dibuat semuanya dapat terlihat tidak biasa pada awalnya. Kuncinya adalah mengorelasikan sinyal dan memeriksa konteks sebelum bertindak: apakah aktivitas tersebut sesuai dengan perubahan yang diketahui, dan apakah beberapa indikator saling menguatkan? Menginvestigasi alih-alih bereaksi mencegah upaya yang sia-sia dan gangguan yang tidak perlu.

Identifikasi pola penyusupan.

Pola anomali yang menandakan penyusupan meliputi lonjakan panggilan API, aktivitas dari geolokasi baru, tindakan API yang tidak biasa atau sensitif, pengintaian, perjalanan yang mustahil, upaya untuk menonaktifkan kontrol keamanan, dan lonjakan eksfiltrasi data. Satu anomali mungkin tidak berbahaya, tetapi mengorelasikan beberapa anomali menghasilkan kesimpulan yang meyakinkan dan menjadi dasar penahanan.