Mengenal Pasti Corak Aktiviti Anomali

Hasil penyiasatan ialah mengenal pasti corak yang menandakan pencerobohan. Detective mendedahkan corak ini, tetapi anda perlu mengetahui rupanya. Pelajaran ini merangkumi corak anomali yang paling kerap menunjukkan penyerang sedang bertindak dalam persekitaran AWS.

Lonjakan panggilan API yang tiba-tiba daripada entiti yang biasanya senyap ialah tanda amaran klasik. Penyerang menyenaraikan sumber dan membuat banyak panggilan dengan pantas. Perbandingan garis dasar Detective menjadikan lonjakan sedemikian jelas berbanding rentak biasa entiti.

Aktiviti daripada negara atau IP yang belum pernah dilihat sebelum ini bagi sesuatu entiti selalunya bermaksud kelayakan telah dicuri. Peranan yang sebelum ini hanya digunakan dari rantau korporat anda tiba-tiba bertindak dari benua lain amat mencurigakan, khususnya jika digabungkan dengan tindakan luar biasa.

Selain jumlah, perhatikan jenis tindakan. Identiti yang biasanya hanya membaca data tiba-tiba mencipta pengguna, melampirkan dasar atau memadam log menandakan penyalahgunaan keistimewaan. Tindakan baharu yang sensitif merupakan bukti yang lebih kukuh berbanding jumlah panggilan semata-mata.

Peringkat awal serangan muncul sebagai tinjauan: banyak panggilan penerangan dan penyenaraian, penyiasatan port atau percubaan akses yang gagal ketika penyerang memetakan persekitaran anda. Mengesan tinjauan lebih awal, sebelum penyerang bertindak, memberikan peluang terbaik untuk membendungnya dengan pantas.

Entiti yang aktif dari dua lokasi jauh dalam tempoh yang mustahil singkat, iaitu perjalanan mustahil, menunjukkan bahawa kelayakan tersebut digunakan oleh lebih daripada satu pihak. Corak ini hampir pasti menandakan bahawa rahsia telah bocor dan sedang disalahgunakan.

Petunjuk berkeyakinan tinggi ialah pelaku yang mematikan keselamatan: melumpuhkan GuardDuty, menghentikan CloudTrail, memadam log atau mengubah peraturan konfigurasi. Pengguna yang sah jarang melakukan perkara ini. Detective dan GuardDuty kedua-duanya menandakan percubaan untuk membutakan pertahanan anda.

Pemindahan data keluar yang besar atau luar biasa, khususnya ke destinasi yang tidak dikenali, menunjukkan penyaringan data. Dalam graf, hal ini muncul sebagai lonjakan jumlah rangkaian atau sambungan ke IP luaran baharu. Mengorelasikannya dengan entiti yang terjejas mengesahkan kecurian tersebut.

Satu anomali mungkin tidak berbahaya; beberapa anomali bersama-sama jarang begitu. Lokasi baharu ditambah lonjakan panggilan dan tindakan melumpuhkan log membentuk kisah pencerobohan yang kukuh dan saling berkaitan. Graf Detective sangat berguna untuk membolehkan anda menghubungkan isyarat ini menjadi kesimpulan yang meyakinkan.

Corak yang berbahaya ialah pergerakan lateral: penyerang yang menjejaskan satu sumber lalu menggunakannya untuk mencapai sumber lain, melompat antara tika, peranan atau malah akaun. Dalam graf tingkah laku, hal ini kelihatan sebagai rantaian sambungan baharu yang merebak keluar dari mangsa pertama. Mengesan pergerakan lateral lebih awal amat penting kerana hal ini mendedahkan bahawa serangan sedang berkembang, bukannya telah dibendung.

Tidak setiap anomali ialah serangan. Pelancaran baharu, pekerja yang berpindah atau tugas automasi baharu semuanya boleh kelihatan luar biasa pada mulanya. Disiplinnya adalah dengan mengorelasikan isyarat dan menyemak konteks sebelum bertindak: adakah aktiviti itu selaras dengan perubahan yang diketahui, dan adakah berbilang petunjuk bersetuju? Menyiasat dan bukannya bertindak balas secara terburu-buru mengelakkan usaha yang sia-sia serta gangguan yang tidak perlu.

Corak anomali yang menandakan pencerobohan termasuk lonjakan panggilan API, aktiviti dari geolokasi baharu, tindakan API yang luar biasa atau sensitif, tinjauan, perjalanan mustahil, percubaan untuk melumpuhkan kawalan keselamatan dan lonjakan penyaringan data. Satu anomali mungkin tidak berbahaya, tetapi mengorelasikan beberapa anomali bersama-sama menghasilkan kesimpulan yang meyakinkan untuk memandu pembendungan.