Investigando Incidentes com Consultas SQL

Com o CloudTrail e os registros de fluxo catalogados, uma investigação se torna uma série de consultas SQL que reduzem bilhões de eventos aos poucos que realmente importam. A habilidade está em saber o que perguntar: quem fez o quê, de onde e quando. Esta lição aborda os padrões de consulta usados pelos investigadores.

Quando há suspeita de que uma credencial foi comprometida, você consulta todas as ações realizadas por essa entidade principal. Filtrar o CloudTrail por userIdentity.arn ou pelo ID da chave de acesso revela todas as chamadas de API realizadas por ela, em ordem. Essa linha do tempo das ações do invasor costuma ser o resultado mais valioso de uma investigação.

Filtrar por sourceIPAddress mostra tudo o que foi feito a partir de determinado endereço. Se você tiver um IP suspeito indicado por uma descoberta do GuardDuty, isso revelará todas as chamadas feitas por ele nos diversos serviços, ajudando a delimitar o alcance do incidente e identificar quais recursos o invasor acessou.

Consultar eventos em que errorCode é AccessDenied ou UnauthorizedOperation revela atividades de reconhecimento: um invasor testando o que uma credencial roubada consegue fazer. Uma sequência de negações de uma entidade principal, seguida por uma chamada bem-sucedida, mostra que ela encontrou uma permissão funcional — um sinal claro de escalada.

Observe eventos confidenciais do IAM, como CreateUser, AttachUserPolicy, CreateAccessKey ou PutUserPolicy. Um invasor frequentemente tenta estabelecer persistência criando novas identidades ou chaves. Consultar esses nomes de eventos revela rapidamente tentativas de ampliar o acesso obtido além da entrada inicial.

Investigações poderosas combinam fontes de dados: associe as ações de uma entidade principal do CloudTrail aos registros de fluxo da VPC da mesma instância ou aos registros do ALB referentes às solicitações atendidas por ela. Correlacionar atividades do plano de controle e da rede reconstrói toda a história do ataque, em vez de apresentar apenas fragmentos isolados.

Sempre restrinja as consultas a uma janela de tempo usando o registro de data e hora do evento. Isso concentra a investigação no período relevante e, quando combinado com partições, reduz drasticamente a quantidade de dados analisados e o custo. Começar com um intervalo amplo e depois restringi-lo é um ritmo natural à medida que o cenário fica mais claro.

As agregações revelam padrões: use GROUP BY no IP de origem para encontrar os que mais se comunicam, conte nomes de eventos distintos por entidade principal para avaliar a amplitude da atividade ou contabilize erros ao longo do tempo para encontrar um pico. Esses resumos transformam linhas brutas nas tendências que indicam o incidente real.

A mesma abordagem SQL se aplica aos registros de fluxo no S3: encontre grandes transferências de saída, conte portas rejeitadas por origem ou liste IPs externos com os quais uma instância se comunicou. Combinar o CloudTrail (o que foi feito na API) com os registros de fluxo (o que foi transmitido pela rede) oferece as duas partes da história.

Salve consultas de investigação comprovadas como consultas nomeadas ou visões, para que sua equipe possa executá-las novamente com rapidez durante o próximo incidente. Uma biblioteca de consultas avaliadas, como "todas as ações de uma chave de acesso" ou "chamadas negadas na última hora", transforma um esforço pontual em uma capacidade de resposta repetível.

As consultas produzem evidências; essas evidências orientam a resposta: revogar a chave, isolar a instância e remover o usuário do IAM criado pelo invasor. Um processo disciplinado de consulta — primeiro a entidade principal, depois o IP, em seguida os eventos de escalada e, por fim, a correlação — oferece o entendimento completo e seguro necessário para conter adequadamente um incidente.

Teste seus conhecimentos sobre consultas de investigação.

As investigações são consultas SQL sobre registros catalogados. Comece com uma entidade principal ou um IP de origem, busque chamadas negadas para identificar reconhecimento, observe eventos do IAM como CreateAccessKey em busca de escalada e limite tudo por tempo. Agrupe e conte para encontrar padrões, correlacione o CloudTrail com os registros de fluxo e salve consultas nomeadas avaliadas para transformar a coleta de evidências em uma capacidade de resposta repetível.