Verdacht verkeer in Flow Logs herkennen

Het lezen van afzonderlijke records is de basis; de echte waarde zit in het herkennen van patronen in veel records die kwaadaardige activiteiten verraden. Aanvallers laten netwerksporen achter en Flow Logs zijn de plek waar die sporen zichtbaar worden. In deze les leer je welke kenmerken beveiligingsteams in de gegevens opsporen.

Een poortscan verschijnt als één bronadres in korte tijd verbinding probeert te maken met veel doelpoorten op een host, meestal met veel acties REJECT. Dit patroon onthult verkenning, waarbij een aanvaller in kaart brengt welke diensten openstaan. Het tellen van verschillende doelpoorten per bron is een betrouwbare manier om dit te signaleren.

Een netwerkscan werkt omgekeerd: één bron maakt verbinding met dezelfde poort op veel doel-IP-adressen, op zoek naar hosts waarop een bepaalde doeldienst actief is. Wanneer één srcaddr een heel subnet benadert via poort 22 of 445, is dat een klassiek teken dat een aanvaller zoekt naar een ingang om uit te buiten.

Gegevensonttrekking verschijnt als een ongewoon groot aantal uitgaande bytes vanaf een interne host naar een extern adres, vooral naar een nieuw of buitenlands adres. Een webserver die normaal kleine antwoorden levert en plotseling gigabytes uploadt, is verdacht. Door de grootste verzenders op basis van uitgaande bytes te volgen, vallen deze gevallen sneller op.

Door doeladressen te vergelijken met dreigingsinformatiefeeds met bekende kwaadaardige IP-adressen, kun je communicatie met command-and-controlservers signaleren. GuardDuty doet dit automatisch, maar je kunt dit in Athena-query's nabootsen door Flow Logs te koppelen aan een IP-blokkadelijst voor aangepaste detectie.

Verkeer via ongebruikelijke poorten of protocollen voor de rol van een werkbelasting is een waarschuwing. Uitgaand IRC-, Tor- of cryptominingverkeer vanaf een server die alleen HTTPS hoort aan te bieden, wijst op een mogelijke inbreuk. Door voor elke laag vast te leggen wat normaal is, vallen deze afwijkingen direct op.

Nadat aanvallers één host zijn binnengedrongen, verplaatsen ze zich zijwaarts. Laterale verplaatsing blijkt uit interne verbindingen die afwijken van normale patronen, zoals een applicatieserver die plotseling SSH- of SMB-sessies opent naar veel andere hosts. Oost-westverkeer dat niet bij de architectuur past, verdient nader onderzoek.

Op grote schaal analyseer je Flow Logs in Athena met gegevens in S3. Met SQL kun je groeperen op bron, verschillende poorten tellen, uitgaande bytes optellen en filteren op actie. Een paar goed opgestelde query's veranderen miljarden records in een korte lijst met de meest risicovolle gegevensstromen, veel sneller dan handmatige controle.

Stuur Flow Logs voor snelle detectie naar CloudWatch Logs en gebruik metriekfilters en alarmen voor verdachte patronen, of stream ze via een abonnementsfilter naar een Lambda-detector. Zo verandert opsporing achteraf in waarschuwingen die bijna realtime zijn, waardoor de aanvaller minder tijd heeft voordat iemand reageert.

Niet elke afwijking is een aanval. Scanners uit je eigen beveiligingshulpmiddelen, gezondheidscontroles en back-ups veroorzaken onschadelijke patronen. Door detecties af te stemmen met toestaanlijsten voor bekende bronnen en referentiewaarden voor normale volumes, blijven waarschuwingen betrouwbaar en gaat het echte signaal niet verloren in ruis.

De sterkste aanpak combineert beheerde en aangepaste detectie: laat GuardDuty bekende bedreigingen uit Flow Logs automatisch signaleren, gebruik Athena voor diepgaand zoeken op maat en bewaar CloudWatch alarms voor je patronen met de hoogste prioriteit. Flow Logs vormen de gedeelde bewijslast waarop ze alle drie werken.

Zoek naar patronen: poortscans (één bron, veel poorten, REJECTs), veegbewegingen (één poort, veel hosts), exfiltratie (veel uitgaande bytes naar nieuwe IP-adressen), contact met een bekend kwaadaardig IP-adres en laterale verplaatsing (ongebruikelijk oost-westverkeer). Gebruik Athena voor diepgaande query's, CloudWatch alarms voor realtimewaarschuwingen en GuardDuty voor beheerde detectie, waarbij je onschadelijke ruis wegfiltert.