Filtros de Métricas para Eventos de Segurança

Os registros brutos são detalhados, mas passivos. Um filtro de métricas examina os eventos de registro recebidos em um grupo de registros, procura um padrão definido por você e transforma cada correspondência em um ponto de dados numérico em uma métrica do CloudWatch. Isso conecta os registros de texto ao universo das métricas, no qual você pode representar tendências em gráficos e, principalmente, disparar alarmes.

Os sinais de segurança geralmente ficam ocultos em registros comuns: uma tentativa de login malsucedida, uma chamada de API não autorizada ou um acesso ao console sem MFA. Um filtro de métricas extrai exatamente essas linhas e as contabiliza. Quando um evento de segurança se torna uma métrica, ele passa a ser algo que você pode acompanhar e sobre o qual pode gerar alertas automaticamente, em vez de esperar que alguém o perceba durante a rolagem dos registros.

O padrão de filtro define o que deve ser localizado. Para texto simples, ele pode conter termos básicos; para registros JSON, pode localizar campos específicos, como { $.errorCode = "AccessDenied*" }. Os eventos do CloudTrail entregues ao CloudWatch estão no formato JSON, portanto os padrões de filtro JSON permitem direcionar a busca a nomes de eventos e códigos de erro precisos.

Quando um evento de registro corresponde ao padrão, o filtro envia um valor para uma métrica escolhida por você, dentro de um namespace de métricas. Normalmente, cada correspondência incrementa a métrica em um, mas também é possível publicar um campo numérico do registro. Você também define um valor padrão para que a métrica informe zero quando nenhum evento corresponder, mantendo os alarmes em boas condições.

A AWS publica filtros recomendados para monitoramento no estilo CIS: chamadas de API não autorizadas, acesso sem MFA, uso da conta-raiz, alterações em políticas do IAM, alterações em grupos de segurança e alterações na configuração do CloudTrail. Esses filtros correspondem diretamente a pontos de detecção de alto valor. Criar esse conjunto oferece uma ampla cobertura das ações mais arriscadas do plano de controle de uma conta.

Um filtro clássico localiza eventos em que o errorCode é AccessDenied ou UnauthorizedOperation. Um aumento repentino desses eventos geralmente significa que um invasor está sondando o que uma credencial roubada consegue fazer. Contá-los como uma métrica permite gerar um alarme quando a taxa ultrapassar um limite, detectando o reconhecimento antecipadamente.

Alterações em grupos de segurança, ACLs de rede ou tabelas de rotas podem abrir discretamente um caminho para um invasor. Um filtro de métricas aplicado a nomes de eventos como AuthorizeSecurityGroupIngress ou CreateRoute evidencia essas alterações. Como alterações legítimas também acontecem, o alarme indica que você deve verificar se a mudança corresponde a uma solicitação aprovada, e não que algo esteja necessariamente errado.

O CloudWatch Logs Insights é usado para consultas improvisadas e posteriores, executadas manualmente. Os filtros de métricas são contínuos e proativos: avaliam cada evento assim que ele chega e alimentam alarmes. Use o Insights para explorar e os filtros de métricas para detectar. A prova frequentemente contrasta a investigação reativa com a geração proativa de alertas.

Os filtros se aplicam somente a novos eventos ocorridos depois que o filtro é criado; eles não examinam registros antigos retroativamente. Você também tem um limite para o número de filtros de métricas por grupo de registros. Planeje seu conjunto de detecções antecipadamente e lembre-se de que a análise histórica ainda deve ser feita pelo Insights ou pelo Athena sobre dados arquivados.

Um filtro de métricas, sozinho, apenas contabiliza eventos. Seu valor aparece quando você associa um alarme do CloudWatch que monitora a métrica e envia uma notificação por meio do SNS quando um limite é ultrapassado. Filtro de métricas mais alarme mais SNS é o padrão para transformar uma linha de registro suspeita em uma notificação em tempo real para sua equipe de segurança.

Crie seus filtros em torno das ações mais importantes: alterações de identidade, chamadas negadas, edições de rede e atividades da conta-raiz. Defina um limite adequado para cada uma, evitando que o ruído normal acione notificações, e encaminhe os alertas para um canal que sua equipe realmente acompanhe. Filtros de métricas bem ajustados são a diferença entre detectar uma violação e descobri-la meses depois.

Verifique sua compreensão sobre filtros de métricas.

Um filtro de métricas compara um padrão de filtro com os eventos de registro recebidos e converte as correspondências em uma métrica do CloudWatch. Os padrões JSON direcionam a busca a campos do CloudTrail, como errorCode e eventName. Cubra chamadas não autorizadas, acessos sem MFA, uso da conta-raiz e alterações de rede. Os filtros atuam somente sobre novos eventos e são mais eficazes quando conectados a um alarme e ao SNS para detecção em tempo real.