Individuare traffico sospetto nei Flow Log

Leggere i singoli record è il punto di partenza; il vero valore consiste nell'individuare schemi ricorrenti in molti record che rivelano attività dannose. Gli aggressori lasciano tracce nella rete e i Flow Logs sono il punto in cui queste tracce compaiono. Questa lezione illustra le firme che i team di sicurezza cercano nei dati.

Una scansione delle porte si manifesta quando un indirizzo di origine contatta molte porte di destinazione su un host in un breve intervallo, generalmente con molte azioni REJECT. Questo schema rivela un'attività di ricognizione, durante la quale un aggressore mappa i servizi aperti. Contare le porte di destinazione distinte per ogni origine è un metodo affidabile per individuarla.

Una scansione della rete è il fenomeno inverso: un'origine contatta la stessa porta su molti IP di destinazione, cercando un host che esegua un determinato servizio. Vedere un srcaddr che contatta un'intera subnet sulla porta 22 o 445 è un segnale classico di un aggressore alla ricerca di un punto d'appoggio da sfruttare.

L'esfiltrazione si manifesta come un numero insolitamente elevato di byte in uscita da un host interno verso un indirizzo esterno, soprattutto se nuovo o estero. Un web server che normalmente serve risposte di piccole dimensioni e improvvisamente carica gigabyte di dati è sospetto. Monitorare gli host con il maggior traffico in base ai byte in uscita aiuta a far emergere questi casi.

Il confronto degli indirizzi di destinazione con i feed di threat intelligence contenenti IP noti come dannosi segnala le comunicazioni con server di comando e controllo. GuardDuty esegue questa operazione automaticamente, ma può replicarla nelle query Athena unendo i Flow Logs a una blocklist di IP per creare rilevamenti personalizzati.

Il traffico su porte o protocolli insoliti rispetto al ruolo di un carico di lavoro è un segnale d'allarme. Traffico IRC o Tor in uscita, oppure connessioni a porte di mining pool di criptovalute provenienti da un server che dovrebbe offrire solo HTTPS, suggeriscono una compromissione. Definire una baseline del comportamento normale per ogni livello rende evidenti queste deviazioni.

Dopo aver violato un host, gli aggressori si spostano lateralmente. Il movimento laterale si manifesta con connessioni interne tra host interni che interrompono gli schemi normali, ad esempio quando un application server inizia improvvisamente ad aprire sessioni SSH o SMB verso molti peer. Il traffico est-ovest che non è coerente con l'architettura merita un'attenta analisi.

Su larga scala, può analizzare i Flow Logs con Athena sui dati presenti in S3. SQL consente di raggruppare per origine, contare le porte distinte, sommare i byte in uscita e filtrare per azione. Alcune query ben progettate trasformano miliardi di record in un breve elenco dei flussi più rischiosi, molto più rapidamente di una revisione manuale.

Per lavorare rapidamente, invii i Flow Logs a CloudWatch Logs e utilizzi filtri metrici e allarmi sugli schemi sospetti, oppure li trasmetta tramite un subscription filter a un rilevatore Lambda. In questo modo la ricerca a posteriori si trasforma in avvisi quasi in tempo reale, riducendo la finestra d'azione dell'aggressore prima che qualcuno possa intervenire.

Non tutte le anomalie sono attacchi. Gli scanner degli strumenti di sicurezza, i controlli di integrità e i backup interni creano pattern benigni. Ottimizzare i rilevamenti con allowlist per le origini note e baseline per i volumi normali mantiene affidabili gli avvisi, evitando che il segnale reale venga perso nel rumore.

L'approccio più efficace combina il rilevamento gestito e quello personalizzato: lasci che GuardDuty segnali automaticamente le minacce note dai Flow Logs, utilizzi Athena per ricerche approfondite personalizzate e mantenga gli allarmi di CloudWatch per i pattern con la massima priorità. I Flow Logs sono la base di evidenze condivisa che permette a tutti e tre gli strumenti di funzionare.

Metta alla prova le Sue competenze di threat hunting.

Cerchi i seguenti pattern: scansioni delle porte (un'origine, molte porte, rifiuti), sweeping (una porta, molti host), esfiltrazione (molti byte in uscita verso nuovi IP), contatti con IP noti come dannosi e movimenti laterali (traffico est-ovest insolito). Utilizzi Athena per le query approfondite, gli allarmi di CloudWatch per gli avvisi in tempo reale e GuardDuty per il rilevamento gestito, eliminando il rumore benigno.