Identificando Padrões de Atividade Anômalos

O objetivo da investigação é reconhecer padrões que indiquem um comprometimento. O Detective os revela, mas você precisa saber como eles se manifestam. Esta lição aborda os padrões anômalos que mais frequentemente significam que um invasor está atuando em um ambiente AWS.

Um pico de chamadas de API repentino proveniente de uma entidade que normalmente é pouco ativa é um sinal de alerta clássico. Os invasores enumeram recursos e fazem muitas chamadas rapidamente. A comparação do Detective com a linha de base torna esses picos evidentes em relação ao ritmo normal da entidade.

Atividade proveniente de um país ou IP nunca visto antes para uma entidade geralmente significa que credenciais foram roubadas. Uma função usada somente na sua região corporativa que de repente atua em outro continente é altamente suspeita, especialmente quando combinada com ações incomuns.

Além do volume, observe os tipos de ações. Uma identidade que normalmente apenas lê dados e de repente começa a criar usuários, associar políticas ou excluir registros indica abuso de privilégios. Ações novas e sensíveis são evidências mais fortes do que a simples quantidade de chamadas.

Os estágios iniciais de um ataque aparecem como reconhecimento: muitas chamadas para descrever e listar recursos, sondagens de portas ou tentativas de acesso malsucedidas enquanto o invasor mapeia seu ambiente. Identificar o reconhecimento cedo, antes que o invasor aja, oferece a melhor chance de realizar uma contenção rápida.

Uma entidade ativa em duas localizações distantes dentro de um intervalo de tempo impossivelmente curto — um deslocamento impossível — indica que a credencial está sendo usada por mais de uma pessoa ou sistema. Esse padrão é um sinal quase certo de que um segredo vazou e está sendo usado de forma indevida.

Um indicador de alta confiança é um agente desativando a segurança: desabilitando o GuardDuty, interrompendo o CloudTrail, excluindo registros ou alterando regras de configuração. Usuários legítimos raramente fazem isso. O Detective e o GuardDuty sinalizam as tentativas de deixar suas defesas cegas.

Transferências de dados de saída grandes ou incomuns, especialmente para destinos desconhecidos, sugerem exfiltração. No gráfico, isso aparece como picos no volume de rede ou conexões com novos IPs externos. Correlacionar esse comportamento com uma entidade comprometida confirma o roubo.

Uma anomalia pode ser inofensiva; várias em conjunto raramente são. Uma nova localização, somada a um pico de chamadas e à desativação de registros, forma uma narrativa forte e correlacionada de comprometimento. O gráfico do Detective é excelente para permitir que você conecte esses sinais e chegue a uma conclusão confiável.

Um padrão perigoso é o movimento lateral: um invasor compromete um recurso e o utiliza para alcançar outros, passando entre instâncias, funções ou até contas. No gráfico de comportamento, isso aparece como uma cadeia de novas conexões que se espalha a partir da primeira vítima. Identificar o movimento lateral cedo é fundamental, pois revela que o ataque está se expandindo, e não contido.

Nem toda anomalia é um ataque. Uma nova implantação, um funcionário transferido ou uma nova tarefa de automação podem parecer incomuns no início. A disciplina consiste em correlacionar os sinais e verificar o contexto antes de agir: a atividade está de acordo com uma mudança conhecida e vários indicadores confirmam a mesma situação? Investigar em vez de reagir evita esforço desperdiçado e interrupções desnecessárias.

Os padrões anômalos que indicam um comprometimento incluem picos de chamadas de API, atividade proveniente de novas localizações geográficas, ações de API incomuns ou sensíveis, reconhecimento, deslocamento impossível, tentativas de desativar controles de segurança e picos de exfiltração de dados. Uma única anomalia pode ser inofensiva, mas correlacionar várias delas leva a uma conclusão confiável que orienta a contenção.