Menyiasat Insiden dengan Pertanyaan SQL

Dengan CloudTrail dan Log Aliran dikatalogkan, penyiasatan menjadi satu siri pertanyaan SQL yang menapis berbilion-bilion peristiwa sehingga tinggal beberapa peristiwa yang penting. Kemahirannya ialah mengetahui perkara yang perlu ditanya: siapa melakukan apa, dari mana dan bila. Pelajaran ini merangkumi corak pertanyaan yang menjadi sandaran penyiasat.

Apabila kelayakan disyaki telah terjejas, anda membuat pertanyaan terhadap semua tindakan oleh prinsipal tersebut. Menapis CloudTrail berdasarkan userIdentity.arn atau ID kunci akses mendedahkan setiap panggilan API yang dibuatnya mengikut turutan. Garis masa tindakan penyerang ini selalunya merupakan hasil paling bernilai dalam sesuatu penyiasatan.

Menapis berdasarkan sourceIPAddress menunjukkan semua tindakan yang dilakukan dari alamat tertentu. Jika anda mempunyai satu IP mencurigakan daripada penemuan GuardDuty, kaedah ini memaparkan setiap panggilan yang dibuatnya merentas perkhidmatan, membantu anda menentukan skop kesan dan mengenal pasti sumber yang disentuh penyerang.

Membuat pertanyaan untuk peristiwa yang errorCode ialah AccessDenied atau UnauthorizedOperation mendedahkan peninjauan: penyerang sedang menguji perkara yang boleh dilakukan oleh kelayakan yang dicuri. Rentetan penolakan daripada satu prinsipal yang kemudiannya diikuti panggilan berjaya menunjukkan bahawa penyerang sedang mencari kebenaran yang berfungsi, iaitu isyarat peningkatan keistimewaan yang jelas.

Perhatikan peristiwa IAM yang sensitif seperti CreateUser, AttachUserPolicy, CreateAccessKey atau PutUserPolicy. Penyerang sering cuba mengekalkan akses dengan mencipta identiti atau kunci baharu. Membuat pertanyaan untuk nama peristiwa ini dengan cepat mendedahkan percubaan untuk mengukuhkan kedudukan melebihi kemasukan awal.

Penyiasatan yang berkuasa menggabungkan sumber data: padankan tindakan prinsipal CloudTrail dengan Log Aliran VPC daripada tika yang sama, atau dengan log ALB bagi permintaan yang dilayan olehnya. Mengaitkan aktiviti satah kawalan dan rangkaian membina semula keseluruhan kisah serangan, bukannya cebisan yang terasing.

Sentiasa hadkan pertanyaan kepada jendela masa menggunakan cap masa peristiwa. Ini memfokuskan penyiasatan pada tempoh yang berkaitan dan, apabila digabungkan dengan pembahagian, mengurangkan data yang diimbas serta kos dengan ketara. Bermula dengan julat masa yang luas kemudian mengecilkannya ialah rentak semula jadi apabila gambaran menjadi semakin jelas.

Pengagregatan mendedahkan corak: gunakan GROUP BY IP sumber untuk mencari sumber komunikasi utama, kira nama peristiwa berbeza bagi setiap prinsipal untuk mengukur keluasan aktiviti, atau jumlahkan ralat mengikut masa untuk mencari lonjakan. Ringkasan ini menukarkan baris mentah kepada trend yang membantu anda menuju kepada insiden sebenar.

Pendekatan SQL yang sama boleh digunakan pada Log Aliran dalam S3: cari pemindahan keluar yang besar, kira port yang ditolak bagi setiap sumber, atau senaraikan IP luaran yang dihubungi oleh sesuatu tika. Menggabungkan CloudTrail (apa yang dilakukan melalui API) dengan Log Aliran (apa yang bergerak melalui rangkaian) memberikan kedua-dua bahagian cerita.

Simpan pertanyaan penyiasatan yang telah terbukti sebagai pertanyaan bernama atau paparan supaya pasukan anda boleh menjalankannya semula dengan pantas semasa insiden seterusnya. Pustaka pertanyaan yang telah disemak, seperti "semua tindakan oleh kunci akses" atau "panggilan yang ditolak dalam satu jam terakhir," menukarkan usaha ad hoc kepada keupayaan tindak balas yang boleh diulang.

Pertanyaan menghasilkan bukti; bukti itu memacu tindak balas: batalkan kunci, asingkan tika dan buang pengguna IAM jahat. Proses pertanyaan yang berdisiplin—bermula dengan prinsipal, kemudian IP, peristiwa peningkatan keistimewaan dan akhirnya pengaitan—memberikan pemahaman yang yakin serta lengkap, yang diperlukan untuk mengehadkan insiden dengan betul.

Penyiasatan ialah pertanyaan SQL terhadap log yang telah dikatalogkan. Mulakan dengan prinsipal atau IP sumber, buru panggilan yang ditolak untuk peninjauan, perhatikan peristiwa IAM seperti CreateAccessKey untuk peningkatan keistimewaan, dan hadkan mengikut masa semuanya. Kumpulkan dan kira untuk mencari corak, kaitkan CloudTrail dengan Log Aliran dan simpan pertanyaan bernama yang telah disemak supaya pengumpulan bukti menjadi keupayaan tindak balas yang boleh diulang.