Individuare pattern di attività anomale

Il risultato di un'indagine consiste nel riconoscere i modelli che indicano una compromissione. Detective li mette in evidenza, ma è necessario sapere come si manifestano. Questa lezione tratta i modelli anomali che più spesso indicano la presenza di un attaccante in un ambiente AWS.

Un improvviso picco nelle chiamate API proveniente da un'entità normalmente poco attiva è un classico segnale d'allarme. Gli attaccanti enumerano le risorse ed effettuano rapidamente molte chiamate. Il confronto con la baseline di Detective rende evidenti questi picchi rispetto al normale ritmo dell'entità.

L'attività proveniente da un Paese o IP mai osservato prima per un'entità indica spesso credenziali sottratte. Un ruolo utilizzato esclusivamente dalla Regione aziendale che improvvisamente opera da un altro continente è altamente sospetto, soprattutto se associato ad azioni insolite.

Oltre al volume, presti attenzione ai tipi di azione. Se un'identità che normalmente si limita a leggere dati inizia improvvisamente a creare utenti, associare policy o eliminare log, ciò segnala un abuso dei privilegi. Le azioni nuove e sensibili costituiscono un'evidenza più forte del semplice numero di chiamate.

Le prime fasi di un attacco si manifestano come attività di ricognizione: numerose chiamate describe e list, scansioni delle porte o tentativi di accesso non riusciti mentre l'attaccante mappa l'ambiente. Individuare tempestivamente la ricognizione, prima che l'attaccante agisca, offre le migliori possibilità di contenere rapidamente l'incidente.

Quando un'entità risulta attiva da due località distanti in un intervallo di tempo impossibilmente breve, si parla di spostamento impossibile. Ciò indica che la credenziale viene utilizzata da più di una persona. Questo modello è un segnale quasi certo che un segreto è stato divulgato e viene utilizzato impropriamente.

Un indicatore altamente affidabile è un attore che disattiva la sicurezza: disabilita GuardDuty, arresta CloudTrail, elimina i log o modifica le regole di configurazione. Gli utenti legittimi lo fanno raramente. Sia Detective sia GuardDuty segnalano i tentativi di accecare le difese.

Trasferimenti di dati in uscita ingenti o insoliti, soprattutto verso destinazioni sconosciute, suggeriscono un'esfiltrazione. Nel grafo ciò appare come picchi nel volume di rete o connessioni verso nuovi IP esterni. Correlare questo comportamento con un'entità compromessa conferma il furto.

Una singola anomalia può essere innocua; diverse anomalie insieme raramente lo sono. Una nuova posizione, un picco nelle chiamate e la disabilitazione dei log formano una sequenza fortemente correlata che indica una compromissione. Il grafo di Detective è particolarmente efficace nel consentire di collegare questi segnali per arrivare a una conclusione affidabile.

Un modello pericoloso è il movimento laterale: un attaccante compromette una risorsa e la utilizza per raggiungerne altre, spostandosi tra istanze, ruoli o persino account. Nel grafo del comportamento questo appare come una catena di nuove connessioni che si diramano dalla prima vittima. Rilevare tempestivamente il movimento laterale è fondamentale perché rivela che l'attacco si sta espandendo e non è contenuto.

Non tutte le anomalie sono attacchi. Una nuova implementazione, un dipendente trasferito o un nuovo processo di automazione possono apparire insoliti inizialmente. È importante correlare i segnali e verificare il contesto prima di agire: l'attività è coerente con una modifica nota e più indicatori concordano? Indagare invece di reagire impulsivamente evita sprechi di tempo e interruzioni non necessarie.

Individui un modello di compromissione.

I modelli anomali che indicano una compromissione includono picchi nelle chiamate API, attività da nuove geolocalizzazioni, azioni API insolite o sensibili, ricognizione, spostamenti impossibili, tentativi di disabilitare i controlli di sicurezza e picchi di esfiltrazione dei dati. Una singola anomalia può essere innocua, ma correlare più anomalie porta a una conclusione affidabile che consente il contenimento.