Oppdage mistenkelig trafikk i Flow Logs

Å lese enkeltposter er grunnlaget; den virkelige verdien ligger i å oppdage mønstre på tvers av mange poster som avslører ondsinnet aktivitet. Angripere etterlater nettverksspor, og det er i Flow Logs disse sporene blir synlige. Denne leksjonen dekker signaturene sikkerhetsteam leter etter i dataene.

En portskanning vises som én kildeadresse som treffer mange destinasjonsporter på en vert i løpet av et kort tidsrom, vanligvis med mange REJECT-handlinger. Dette mønsteret avslører rekognosering, der en angriper kartlegger hvilke tjenester som er åpne. Å telle unike destinasjonsporter per kilde er en pålitelig måte å oppdage dette på.

Et nettverkssveip er det motsatte: én kilde kontakter den samme porten på mange destinasjons-IP-er for å finne en vert som kjører en bestemt tjeneste. Hvis én srcaddr berører et helt subnett på port 22 eller 445, er det et klassisk tegn på at en angriper leter etter et fotfeste som kan utnyttes.

Eksfiltrering vises som uvanlig store utgående byteantall fra en intern vert til en ekstern adresse, særlig en ny eller utenlandsk adresse. En webserver som vanligvis leverer små svar, men plutselig laster opp gigabyte, er mistenkelig. Ved å følge de største bidragsyterne etter utgående byte blir slike tilfeller lettere å oppdage.

Ved å sammenholde destinasjonsadresser med trusselinformasjonskilder over kjente ondsinnede IP-adresser kan De oppdage kommunikasjon med kommando- og kontrollservere. GuardDuty gjør dette automatisk, men De kan gjenskape det i Athena-spørringer ved å koble Flow Logs mot en IP-blokkeringsliste for tilpasset deteksjon.

Trafikk på uvanlige porter eller protokoller for en arbeidsmengdes rolle er et varselsignal. Utgående IRC, Tor eller porter til kryptovalutagrutepooler fra en server som bare skal levere HTTPS, tyder på kompromittering. Ved å etablere en normalprofil for hvert lag blir slike avvik tydelige.

Etter å ha brutt seg inn på én vert beveger angripere seg sidelengs. Sideveis bevegelse vises som interne til interne-forbindelser som bryter med normale mønstre, for eksempel når en applikasjonsserver plutselig oppretter SSH- eller SMB-økter mot mange motparter. Øst–vest-trafikk som ikke passer med arkitekturen, bør undersøkes nærmere.

I stor skala analyserer De Flow Logs i Athena over data i S3. Med SQL kan De gruppere etter kilde, telle unike porter, summere utgående byte og filtrere etter handling. Noen få godt utformede spørringer gjør milliarder av poster om til en kort liste over de mest risikable flytene, langt raskere enn manuell gjennomgang.

For rask respons kan De sende Flow Logs til CloudWatch Logs og bruke metrikfiltre og alarmer på mistenkelige mønstre, eller strømme data via et abonnementsfilter til en Lambda-detektor. Dette gjør jakt i etterkant om til varsling nesten i sanntid og reduserer angriperens tidsvindu før noen reagerer.

Ikke alle avvik er angrep. Skannere fra egne sikkerhetsverktøy, helsesjekker og sikkerhetskopier oppretter godartede mønstre. Ved å finjustere deteksjonene med tillatelseslister for kjente kilder og referanseverdier for normalt volum forblir varslene pålitelige, slik at det reelle signalet ikke forsvinner i støy.

Den mest effektive tilnærmingen kombinerer administrert og egendefinert deteksjon: la GuardDuty automatisk oppdage kjente trusler fra Flow Logs, bruk Athena til grundig, egendefinert jakt, og behold CloudWatch alarms for mønstrene med høyest prioritet. Flow Logs er det felles bevisgrunnlaget som får alle tre til å fungere.

Se etter mønstre: portskanninger (én kilde, mange porter, REJECTs), sveip (én port, mange verter), dataeksfiltrering (store mengder utgående byte til nye IP-adresser), kontakt med kjent ondsinnede IP-adresser og sideveis bevegelse (uvanlig øst–vest-trafikk). Bruk Athena til grundige spørringer, CloudWatch alarms til varsling i sanntid og GuardDuty til administrert deteksjon, samtidig som godartet støy filtreres bort.