Indagare sugli incidenti con query SQL

Con CloudTrail e Flow Logs catalogati, un'analisi diventa una serie di SQL queries che riducono miliardi di eventi ai pochi realmente importanti. La competenza consiste nel sapere cosa chiedere: chi ha fatto cosa, da dove e quando. Questa lezione illustra i pattern di query su cui fanno affidamento gli analisti.

Quando si sospetta che una credenziale sia stata compromessa, si interrogano tutte le azioni eseguite da quel principal. Filtrare CloudTrail in base a userIdentity.arn o all'ID della chiave di accesso mostra ogni chiamata API effettuata, nell'ordine in cui è avvenuta. Questa cronologia delle azioni dell'aggressore è spesso il risultato più prezioso di un'analisi.

Filtrare in base a sourceIPAddress mostra tutto ciò che è stato eseguito da un determinato indirizzo. Se si dispone di un IP sospetto proveniente da un risultato di GuardDuty, è possibile visualizzare ogni chiamata effettuata da quell'IP nei vari servizi, delimitando l'impatto dell'attacco e individuando le risorse toccate dall'aggressore.

Interrogare gli eventi in cui errorCode è AccessDenied o UnauthorizedOperation rivela attività di ricognizione: un aggressore sta verificando cosa può fare con una credenziale rubata. Una raffica di rifiuti provenienti da un principal, seguita da una chiamata riuscita, indica che l'aggressore ha individuato un'autorizzazione funzionante: un chiaro segnale di escalation.

Presti attenzione agli eventi IAM sensibili, come CreateUser, AttachUserPolicy, CreateAccessKey o PutUserPolicy. Spesso un aggressore cerca di stabilire la persistenza creando nuove identità o chiavi. Interrogare rapidamente questi nomi di evento rivela i tentativi di consolidare l'accesso oltre il punto d'ingresso iniziale.

Le analisi più efficaci uniscono le fonti di dati: associano le azioni di un principal CloudTrail ai VPC Flow Logs della stessa istanza o ai log ALB relativi alle richieste che l'istanza ha gestito. Correlare l'attività del control plane con quella di rete permette di ricostruire l'intera dinamica dell'attacco, anziché osservare frammenti isolati.

Limiti sempre le query a una finestra temporale usando il timestamp dell'evento. In questo modo l'analisi si concentra sul periodo pertinente e, in combinazione con le partizioni, si riducono drasticamente i dati analizzati e i costi. Iniziare con un intervallo ampio e restringerlo gradualmente è naturale man mano che il quadro diventa più chiaro.

Le aggregazioni fanno emergere i pattern: usi GROUP BY sull'IP di origine per trovare quelli più attivi, conti i nomi di evento distinti per principal per valutare l'ampiezza dell'attività oppure conteggi gli errori nel tempo per individuare un picco. Questi riepiloghi trasformano le righe grezze nelle tendenze che aiutano a individuare il vero incidente.

Lo stesso approccio SQL si applica ai Flow Logs in S3: è possibile trovare grandi trasferimenti in uscita, contare le porte rifiutate per origine o elencare gli IP esterni contattati da un'istanza. Abbinare CloudTrail, che mostra cosa è stato fatto tramite l'API, ai Flow Logs, che mostrano cosa è transitato sulla rete, fornisce entrambe le parti della dinamica.

Salvi le query di analisi già verificate come named queries o viste, in modo che il team possa eseguirle nuovamente e rapidamente durante il prossimo incidente. Una raccolta di query verificate, come "tutte le azioni di una chiave di accesso" o "chiamate negate nell'ultima ora", trasforma un'attività estemporanea in una capacità di risposta ripetibile.

Le query producono prove e le prove guidano la risposta: revocare la chiave, isolare l'istanza, rimuovere l'utente IAM non autorizzato. Un processo disciplinato, che analizzi prima il principal, poi l'IP, quindi gli eventi di escalation e infine le correlazioni, fornisce la comprensione completa e affidabile necessaria per contenere correttamente un incidente.

Le analisi consistono in SQL queries sui log catalogati. Inizi da un principal o da un source IP, cerchi le denied calls per individuare attività di ricognizione, controlli gli eventi IAM come CreateAccessKey per rilevare l'escalation e applichi sempre un limite temporale. Raggruppi e conti per trovare i pattern, correli CloudTrail con i Flow Logs e salvi le named queries verificate, così la raccolta delle prove diventa una capacità di risposta ripetibile.