Rozpoznawanie anomalii we wzorcach aktywności

Rezultatem dochodzenia jest rozpoznanie wzorców wskazujących na przejęcie. Detective je ujawnia, ale trzeba wiedzieć, jak wyglądają. Ta lekcja omawia anomalne wzorce, które najczęściej oznaczają działanie atakującego w środowisku AWS.

Nagły skok liczby wywołań API pochodzących od encji, która zwykle pozostaje nieaktywna, to klasyczny sygnał ostrzegawczy. Atakujący enumerują zasoby i w krótkim czasie wykonują wiele wywołań. Porównanie z wartością bazową w Detective sprawia, że takie skoki wyraźnie odróżniają się od normalnego rytmu encji.

Aktywność z kraju lub adresu IP, którego wcześniej nie obserwowano dla danej encji, często oznacza użycie skradzionych danych uwierzytelniających. Rola używana wyłącznie z firmowego Regionu nagle zaczyna działać z innego kontynentu, co jest wysoce podejrzane, zwłaszcza w połączeniu z nietypowymi działaniami.

Oprócz liczby wywołań należy obserwować także rodzaje działań. Tożsamość, która zwykle tylko odczytuje dane, a nagle zaczyna tworzyć użytkowników, dołączać zasady lub usuwać logi, wskazuje na nadużycie uprawnień. Nowe, wrażliwe działania są mocniejszym dowodem niż sama liczba wywołań.

Wczesne etapy ataku ujawniają się jako rozpoznanie: wiele wywołań operacji describe i list, sondowanie portów lub nieudane próby dostępu, gdy atakujący mapuje środowisko. Wykrycie rozpoznania na wczesnym etapie, zanim atakujący podejmie dalsze działania, daje największą szansę na szybkie powstrzymanie zagrożenia.

Aktywność encji z dwóch odległych lokalizacji w niemożliwie krótkim czasie, czyli niemożliwe przemieszczanie się, wskazuje, że z danych uwierzytelniających korzysta więcej niż jedna osoba lub strona. Taki wzorzec niemal na pewno oznacza wyciek sekretu i jego nadużycie.

Wysoce wiarygodnym wskaźnikiem jest wyłączanie zabezpieczeń przez podmiot działający w systemie: wyłączenie GuardDuty, zatrzymanie CloudTrail, usunięcie logów lub zmiana reguł konfiguracji. Uprawnieni użytkownicy rzadko podejmują takie działania. Zarówno Detective, jak i GuardDuty oznaczają próby oślepienia mechanizmów obronnych.

Duże lub nietypowe transfery danych wychodzących, szczególnie do nieznanych miejsc docelowych, sugerują eksfiltrację. Na grafie widać to jako skoki natężenia ruchu sieciowego lub połączenia z nowymi zewnętrznymi adresami IP. Skorelowanie tego z przejętą encją potwierdza kradzież.

Pojedyncza anomalia może być niegroźna, ale kilka występujących razem rzadko takie jest. Nowa lokalizacja, skok liczby wywołań i wyłączenie logowania tworzą silny, skorelowany obraz przejęcia. Graf Detective doskonale ułatwia łączenie tych sygnałów w wiarygodny wniosek.

Niebezpiecznym wzorcem jest przemieszczanie lateralne: atakujący przejmuje jeden zasób i wykorzystuje go do uzyskania dostępu do kolejnych, przemieszczając się między instancjami, rolami, a nawet kontami. Na grafie zachowania widać to jako łańcuch nowych połączeń rozchodzących się od pierwszej ofiary. Wczesne wykrycie przemieszczania lateralnego ma kluczowe znaczenie, ponieważ pokazuje, że atak się rozszerza, a nie został powstrzymany.

Nie każda anomalia jest atakiem. Nowe wdrożenie, przeniesiony pracownik lub nowe zadanie automatyzacji mogą początkowo wyglądać nietypowo. Należy korelować sygnały i sprawdzać kontekst przed podjęciem działania: czy aktywność jest zgodna ze znaną zmianą i czy wiele wskaźników prowadzi do tego samego wniosku? Dochodzenie zamiast pochopnej reakcji zapobiega marnowaniu wysiłku i niepotrzebnym zakłóceniom.

Rozpoznaj wzorzec przejęcia.

Anomalne wzorce wskazujące na przejęcie obejmują skoki liczby wywołań API, aktywność z nowych geolokalizacji, nietypowe lub wrażliwe działania API, rozpoznanie, niemożliwe przemieszczanie się, próby wyłączenia mechanizmów bezpieczeństwa oraz skoki eksfiltracji danych. Pojedyncza anomalia może być niegroźna, ale skorelowanie kilku z nich prowadzi do wiarygodnego wniosku, na podstawie którego można powstrzymać zagrożenie.