Penapis Metrik untuk Peristiwa Keselamatan

Log mentah kaya dengan maklumat tetapi pasif. Penapis metrik mengimbas peristiwa log yang masuk dalam kumpulan log, memadankan corak yang Anda tentukan, lalu menukar setiap padanan menjadi titik data berangka dalam metrik CloudWatch. Ini menghubungkan log teks dengan dunia metrik, tempat Anda boleh memplot arah aliran dan, yang paling penting, mencetuskan penggera.

Isyarat keselamatan sering tersembunyi dalam log biasa: log masuk yang gagal, panggilan API yang tidak dibenarkan, atau daftar masuk konsol tanpa MFA. Penapis metrik mengekstrak baris tersebut dengan tepat dan menghitungnya. Setelah peristiwa keselamatan menjadi metrik, Anda boleh memantau dan memberi amaran tentangnya secara automatik, bukannya berharap manusia menyedarinya ketika ia berlalu.

Corak penapis mentakrifkan perkara yang perlu dipadankan. Untuk teks biasa, corak itu boleh terdiri daripada istilah mudah, manakala untuk log JSON, corak itu boleh memadankan medan tertentu seperti { $.errorCode = "AccessDenied*" }. Peristiwa CloudTrail yang dihantar ke CloudWatch adalah dalam format JSON, jadi corak penapis JSON membolehkan Anda menyasarkan nama peristiwa dan kod ralat yang tepat.

Apabila sesuatu peristiwa log sepadan, penapis mengeluarkan nilai kepada metrik yang Anda namakan, dalam ruang nama metrik. Biasanya setiap padanan meningkatkan metrik sebanyak satu, tetapi Anda juga boleh menerbitkan medan berangka daripada log. Anda turut menetapkan nilai lalai supaya metrik melaporkan sifar apabila tiada peristiwa sepadan, sekali gus memastikan penggera berfungsi dengan baik.

AWS menerbitkan penapis yang disyorkan untuk pemantauan gaya CIS: panggilan API yang tidak dibenarkan, daftar masuk tanpa MFA, penggunaan akaun akar, perubahan dasar IAM, perubahan kumpulan keselamatan dan perubahan konfigurasi CloudTrail. Semua ini sepadan secara langsung dengan titik pengesanan bernilai tinggi. Membina set ini memberikan liputan luas terhadap tindakan satah kawalan yang paling berisiko dalam sesuatu akaun.

Penapis klasik memadankan peristiwa yang errorCode-nya ialah AccessDenied atau UnauthorizedOperation. Lonjakan mendadak dalam peristiwa ini sering bermaksud penyerang sedang menyiasat perkara yang boleh dilakukan dengan bukti kelayakan yang dicuri. Mengiranya sebagai metrik membolehkan Anda mencetuskan penggera apabila kadarnya melepasi ambang, sekali gus mengesan peninjauan lebih awal.

Perubahan pada kumpulan keselamatan, ACL rangkaian atau jadual laluan boleh membuka laluan kepada penyerang secara senyap. Penapis metrik pada nama peristiwa seperti AuthorizeSecurityGroupIngress atau CreateRoute mendedahkan perubahan ini. Oleh sebab perubahan yang sah juga berlaku, penggera memberitahu Anda untuk mengesahkan bahawa perubahan itu sepadan dengan permintaan yang diluluskan, bukannya mengesahkan bahawa sesuatu pasti salah.

CloudWatch Logs Insights digunakan untuk pertanyaan ad hoc selepas sesuatu berlaku, yang Anda jalankan secara manual. Penapis metrik pula berterusan dan proaktif: penapis ini menilai setiap peristiwa ketika ia tiba dan menyalurkannya kepada penggera. Gunakan Insights untuk meneroka dan penapis metrik untuk mengesan. Peperiksaan sering membandingkan penyiasatan reaktif dengan pemberitahuan proaktif.

Penapis hanya digunakan pada peristiwa baharu selepas penapis dicipta; penapis tidak mengimbas log lama secara retrospektif. Anda juga mempunyai had bilangan penapis metrik bagi setiap kumpulan log. Rancang set pengesanan Anda lebih awal, dan ingat bahawa analisis sejarah masih dilakukan melalui Insights atau Athena terhadap data yang diarkibkan.

Penapis metrik sahaja hanya mengira. Nilainya terserlah apabila Anda melampirkan penggera CloudWatch yang memantau metrik dan memaklumkan Anda melalui SNS apabila ambang dilampaui. Penapis metrik bersama penggera dan SNS ialah corak piawai untuk menukar baris log yang mencurigakan menjadi pemberitahuan masa nyata kepada pasukan keselamatan Anda.

Reka bentuk penapis Anda berdasarkan tindakan yang paling penting: perubahan identiti, panggilan yang dinafikan, pengubahsuaian rangkaian dan aktiviti akar. Berikan setiap satu ambang yang munasabah supaya hingar biasa tidak menghantar pemberitahuan kepada sesiapa, dan halakan amaran ke saluran yang benar-benar dipantau oleh pasukan Anda. Penapis metrik yang ditala dengan baik membezakan pengesanan daripada penemuan pelanggaran keselamatan beberapa bulan kemudian.

Penapis metrik memadankan corak penapis dengan peristiwa log yang masuk dan menukar padanan kepada metrik CloudWatch. Corak JSON menyasarkan medan CloudTrail seperti errorCode dan eventName. Liputi panggilan yang tidak dibenarkan, log masuk tanpa MFA, penggunaan akar dan perubahan rangkaian. Penapis hanya bertindak pada peristiwa baharu, dan paling berkesan apabila dihubungkan kepada penggera serta SNS untuk pengesanan masa nyata.