Filtri delle metriche per gli eventi di sicurezza

I log grezzi sono ricchi di informazioni, ma passivi. Un metric filter analizza gli eventi di log in arrivo in un gruppo di log, individua un pattern definito da Lei e trasforma ogni corrispondenza in un punto dati numerico in una metrica CloudWatch. In questo modo collega i log testuali al mondo delle metriche, in cui può rappresentare graficamente le tendenze e, soprattutto, attivare gli allarmi.

I segnali di sicurezza sono spesso nascosti nei log ordinari: un accesso non riuscito, una chiamata API non autorizzata, un accesso alla console senza MFA. Un filtro metrico estrae esattamente queste righe e le conta. Una volta trasformato un evento di sicurezza in una metrica, può monitorarlo e generare avvisi automaticamente, invece di sperare che qualcuno lo noti mentre scorre.

Il filter pattern definisce cosa cercare. Per il testo semplice può consistere in termini elementari, mentre per i log JSON può individuare campi specifici, ad esempio { $.errorCode = "AccessDenied*" }. Gli eventi CloudTrail distribuiti in CloudWatch sono JSON, quindi i pattern di filtro JSON consentono di indirizzare nomi di eventi e codici di errore precisi.

Quando un evento di log corrisponde al pattern, il filtro invia un valore a una metrica scelta da Lei, inserita in un namespace della metrica. In genere ogni corrispondenza incrementa la metrica di uno, ma può anche pubblicare un campo numerico del log. Imposta inoltre un valore predefinito, affinché la metrica riporti zero quando non ci sono corrispondenze, mantenendo così gli allarmi in uno stato coerente.

AWS pubblica filtri consigliati per il monitoraggio in stile CIS: chiamate API non autorizzate, accessi senza MFA, utilizzo dell’account root, modifiche alle policy IAM, modifiche ai security group e modifiche alla configurazione di CloudTrail. Questi filtri corrispondono direttamente a punti di rilevamento di grande valore. Creando questo insieme, ottiene un’ampia copertura delle azioni sul control plane più rischiose per un account.

Un filtro classico individua gli eventi in cui errorCode è AccessDenied o UnauthorizedOperation. Un improvviso aumento di questi eventi spesso indica che un attaccante sta verificando cosa può fare con una credenziale rubata. Conteggiarli in una metrica consente di generare un allarme quando il tasso supera una soglia, intercettando tempestivamente la ricognizione.

Le modifiche ai security group, alle ACL di rete o alle tabelle di routing possono aprire silenziosamente un varco per un attaccante. Un filtro metrico su nomi di eventi come AuthorizeSecurityGroupIngress o CreateRoute rende visibili queste modifiche. Poiché anche le modifiche legittime sono possibili, l’allarme indica che deve verificare se la modifica corrisponde a una richiesta approvata, non che ci sia necessariamente qualcosa di sbagliato.

CloudWatch Logs Insights serve per query ad hoc eseguite manualmente a posteriori. I filtri metrici sono continui e proattivi: valutano ogni evento appena arriva e alimentano gli allarmi. Usi Insights per esplorare e i filtri metrici per rilevare. Negli esami viene spesso contrapposta l’analisi reattiva alla generazione proattiva di avvisi.

I filtri si applicano solo ai nuovi eventi che arrivano dopo la loro creazione; non analizzano retroattivamente i vecchi log. Esiste inoltre un limite al numero di filtri metrici per gruppo di log. Pianifichi in anticipo l’insieme dei rilevamenti e ricordi che l’analisi storica va ancora eseguita con Insights o Athena sui dati archiviati.

Un filtro metrico, da solo, si limita a contare. Il suo valore emerge quando associa un allarme CloudWatch che monitora la metrica e La avvisa tramite SNS quando viene superata una soglia. Filtro metrico più allarme più SNS è il modello standard per trasformare una riga di log sospetta in una notifica in tempo reale per il team di sicurezza.

Progetti i filtri in base alle azioni più importanti: modifiche alle identità, chiamate negate, modifiche alla rete e attività dell’account root. Assegni a ciascuno una soglia ragionevole, così il normale rumore non attiva notifiche inutili, e indirizzi gli avvisi a un canale che il team controlla davvero. Filtri metrici ben configurati fanno la differenza tra rilevare una violazione e scoprirla mesi dopo.

Verifichi la sua comprensione dei filtri metrici.

Un metric filter confronta un filter pattern con gli eventi di log in arrivo e converte le corrispondenze in una metrica CloudWatch. I pattern JSON permettono di filtrare campi CloudTrail come errorCode ed eventName. Copra le chiamate non autorizzate, gli accessi senza MFA, l’utilizzo dell’account root e le modifiche alla rete. I filtri agiscono solo sui nuovi eventi e sono particolarmente efficaci quando vengono collegati a un allarme e a SNS per il rilevamento in tempo reale.